Exploração de $6 milhões do vault Base expõe uma lacuna de divulgação: Immunefi

Uma exploração de $6 milhões em um vault Base não identificado expôs uma lacuna na reportagem de vulnerabilidades, de acordo com o chefe de segurança da Immunefi, com aproximadamente $31,7 milhões permanecendo no vault no momento do briefing do incidente.

Resumo

• Cerca de $6 milhões em wstETH foram retirados após um contrato malicioso ter acesso ao vault.
• Sete signatários do Safe permaneceram não identificados, sem resposta pública da equipe mais de 24 horas depois.
• O chefe de segurança da Immunefi disse que endereços aprovados poderiam retirar ativos do vault sem fornecer colateral.
• Magalhães disse que um programa de recompensas por bugs poderia ter detectado a falha, mas a anonimidade complicou a ação dos whitehats.

Gonçalo Magalhães, chefe de segurança da Immunefi, disse ao crypto.news que os operadores não identificados do vault deixaram um pesquisador whitehat com poucas opções para abordar a fraqueza de sua lista de permissões sem arriscar problemas legais.

No briefing do incidente que acompanhou seus comentários, a fraqueza havia sido identificada na semana anterior, mas o pesquisador não tinha um canal de divulgação claro. Mais de 24 horas após o ataque, o briefing afirmou que nenhuma equipe havia reivindicado publicamente o vault, reconhecido a perda ou anunciado remediação.

Permissões do vault Base permitiram retiradas sem colateral

O TokenPost relatou que o atacante usou uma carteira multisignature Safe para adicionar um contrato malicioso à lista de permissões de empréstimo do vault. De acordo com sua conta, o contrato então retirou 1.783 aBaswstETH e resgatou os tokens através do Aave V3 por cerca de 1.783 wstETH.

Sob a avaliação de Magalhães, restringir o acesso a endereços aprovados deu a aparência de proteção, pois os atacantes normalmente teriam dificuldades para entrar na lista de permissões. No entanto, uma vez que um endereço recebesse aprovação, o vault permitia que ele retirasse ativos sem fornecer colateral, disse ele. "Mas considerando que qualquer endereço na lista de permissões poderia retirar o aBaswstETH do vault sem necessidade de colateral, isso se torna uma grande vulnerabilidade."

O chefe de segurança descreveu a lista de permissões em si como proteção insuficiente contra essa capacidade de retirada. Sua explicação focou no que um endereço aprovado poderia fazer com os fundos após obter acesso, em vez de simplesmente se o acesso era restrito.

Antes da exploração, o vault havia passado 25 dias sem executar uma transação Safe, de acordo com o TokenPost. A publicação mencionou engenharia social e conluio como possíveis explicações para a mudança de acesso, enquanto afirmava que nenhuma das duas havia sido estabelecida.

Com sete signatários do Safe ainda não identificados no briefing do incidente, Magalhães pediu às pessoas que controlam a carteira que se identificassem e respondessem. Ele disse que seu silêncio contínuo justificava suspeitas, sem apresentar essa preocupação como prova de envolvimento no roubo.

Um vault não nomeado deixou o whitehat sem proteção clara

Para o pesquisador que encontrou a fraqueza, Magalhães disse que a falta de um operador identificado complicou qualquer tentativa de intervir de forma segura.

"Considerando que este é um vault não identificado, um whitehat dificilmente pode realizar qualquer ação com garantia de não deixá-los em problemas legais."

Em seus comentários, o problema não se limitou a encontrar uma falha técnica. Magalhães também questionou a propriedade desconhecida do vault e a aprovação que permitiu que um ator de ameaça entrasse em sua lista de permissões, dizendo que ambos levantavam suspeitas sobre seus criadores.

Em 21 de setembro, o CEO da Immunefi, Mitchell Amador, abordou a divulgação privada e a autorização após a exploração da Liquid Network. Amador disse que os pesquisadores deveriam relatar fraquezas de forma privada, preferencialmente através de um programa de recompensas definido, em vez de mover fundos de usuários e negociar pagamento depois.

Nesse incidente, atores não identificados devolveram 3.400 BTC, mas retiveram 598,5 BTC, de acordo com o relatório. A Blockstream rejeitou sua reivindicação de divulgação responsável e recusou sua demanda por uma recompensa de 10%.

Amador disse que os protocolos devem estabelecer condições de resgate antes de uma emergência, incluindo as ações que um pesquisador pode tomar e os termos de recompensa. O relatório também descreveu a estrutura Whitehat Safe Harbor da Immunefi como uma maneira de definir essas condições com antecedência.

Recompensas por Bugs Podem Capturar Falhas que Auditorias Perdem

Questionado se uma recompensa sozinha teria necessariamente prevenido o ataque ao Base, Magalhães disse que a comunidade de segurança provavelmente teria identificado o problema de retirada do contrato através de um programa.

"Uma recompensa por bug definitivamente poderia ter parado este ataque, uma vez que é provável que a comunidade de segurança tivesse encontrado esse problema de flaring no contrato inteligente."

Em um relatório de 10 de agosto sobre os resultados da recompensa por bugs de julho, a Immunefi disse que os pesquisadores receberam $2,32 milhões por vulnerabilidades confirmadas durante o mês. Relatórios confirmados e pagos aumentaram 18% em relação a junho, enquanto a empresa disse que seus programas preveniram 374 ameaças.

O mesmo relatório citou a comparação da Immunefi de 1.178 auditorias realizadas por empresas de nível 1 e 58 auditorias competitivas. De acordo com a empresa, as competições encontraram uma média de 6,2 vulnerabilidades sérias por engajamento, em comparação com 1,5 em auditorias privadas.

Além da lógica do contrato, Magalhães apontou para compromissos de infraestrutura e chaves como evidência de que as verificações de segurança devem cobrir rotas adicionais para os fundos dos usuários.

Em 20 de julho, um relatório sobre riscos de signatários e infraestrutura citou a descoberta da Hacken de que essas falhas representaram 88,3% dos aproximadamente $764 milhões roubados durante o segundo trimestre. Entre 1.427 projetos monitorados, a Hacken descobriu que apenas 4% combinavam auditorias, recompensas ativas por bugs e monitoramento de terceiros.

A Hacken também identificou 14 projetos explorados que haviam completado auditorias. De acordo com seu relatório, as falhas incluíam dispositivos de signatário, chaves de administrador, validadores de ponte e sistemas de backend fora do código coberto por revisões convencionais.

Processos nos EUA Mostram os Riscos de Retiradas Não Autorizadas

Nos Estados Unidos, o Departamento de Justiça processou um engenheiro de segurança que explorou exchanges descentralizadas e negociou o retorno de ativos roubados.

Em dezembro de 2023, promotores federais anunciaram que Shakeeb Ahmed se declarou culpado de fraude computacional após invadir duas exchanges e obter mais de $12 milhões. De acordo com o departamento, Ahmed concordou em devolver os fundos a uma exchange, exceto por $1,5 milhão, se não reportasse o ataque às autoridades.

No ataque separado da Nirvana Finance, os promotores disseram que o protocolo ofereceu a Ahmed uma recompensa de até $600.000 para devolver os ativos roubados. Ele exigiu $1,4 milhão em vez disso, não chegou a um acordo e manteve os aproximadamente $3,6 milhões que havia levado, de acordo com o Departamento de Justiça.