Эксплуатация в $6 миллионов в Base vault выявила пробел в раскрытии информации: Immunefi

Эксплуатация на сумму $6 миллионов в неуказанном хранилище Base выявила пробел в отчетности о уязвимостях, согласно словам главы безопасности Immunefi, при этом в хранилище на момент брифинга оставалось примерно $31,7 миллиона.

Резюме

• Около $6 миллионов в wstETH было украдено после того, как злонамеренный контракт получил доступ к хранилищу.
• Семь подписантов Safe остались неидентифицированными, и более 24 часов не было публичного ответа от команды.
• Глава безопасности Immunefi заявил, что одобренные адреса могли забирать активы хранилища без предоставления залога.
• Магальяеш сказал, что программа вознаграждений за ошибки могла бы выявить недостаток, но анонимность усложнила действия белых хакеров.

Гонсало Магальяеш, глава безопасности в Immunefi, сообщил crypto.news, что неидентифицированные операторы хранилища оставили белому хакеру мало возможностей для решения проблемы слабости его белого списка без риска юридических последствий.

В брифинге по инциденту, сопровождающем его комментарии, слабость была выявлена на предыдущей неделе, но у исследователя не было четкого канала раскрытия. Более 24 часов после атаки в брифинге говорилось, что ни одна команда публично не заявила о хранилище, не признала потерю и не объявила о мерах по устранению.

Разрешения хранилища Base позволяли вывод средств без залога

TokenPost сообщила, что злоумышленник использовал мультиподписной кошелек Safe, чтобы добавить злонамеренный контракт в белый список кредитования хранилища. Согласно его отчету, контракт затем вывел 1,783 aBaswstETH и обменял токены через Aave V3 на около 1,783 wstETH.

По оценке Магальяеша, ограничение доступа к одобренным адресам создавало видимость защиты, поскольку злоумышленники обычно испытывают трудности с входом в белый список. Однако, как только адрес получал одобрение, хранилище позволяло ему забирать активы без предоставления залога, сказал он. "Но учитывая, что любой адрес из белого списка мог забрать aBaswstETH хранилища без необходимости предоставления залога, это на самом деле становится серьезной уязвимостью."

Глава безопасности описал сам белый список как недостаточную защиту против этой возможности вывода средств. Его объяснение сосредоточилось на том, что одобренный адрес мог сделать с фондами после получения доступа, а не просто на том, был ли доступ ограничен.

Перед эксплуатацией хранилище не выполняло транзакции Safe в течение 25 дней, согласно TokenPost. Издание упомянуло социальную инженерию и сговор как возможные объяснения изменения доступа, при этом заявив, что ни одно из них не было установлено.

С семью подписантами Safe, все еще неидентифицированными в брифинге по инциденту, Магальяеш призвал людей, контролирующих кошелек, идентифицировать себя и ответить. Он сказал, что их продолжающееся молчание вызывает подозрения, не представляя эту озабоченность как доказательство участия в краже.

Неуказанное хранилище оставило белого хакера без четкой защиты

Для исследователя, который нашел слабость, Магальяеш сказал, что отсутствие идентифицированного оператора усложняло любую попытку вмешаться безопасно.

"Учитывая, что это неидентифицированное хранилище, белый хакер едва ли может предпринять какие-либо действия с гарантией, что не оставит их в юридических проблемах."

В своих комментариях проблема не ограничивалась поиском технического недостатка. Магальяеш также поставил под сомнение неизвестное владение хранилищем и одобрение, которое позволило угрозе попасть в его белый список, сказав, что оба фактора вызывают подозрения относительно его создателей.

21 сентября генеральный директор Immunefi Митчелл Амадор обсудил частное раскрытие и авторизацию после эксплуатации Liquid Network. Амадор сказал, что исследователи должны сообщать о слабостях в частном порядке, предпочтительно через определенную программу вознаграждений, а не перемещать средства пользователей и вести переговоры о выплате позже.

В этом инциденте неидентифицированные лица вернули 3,400 BTC, но удержали 598.5 BTC, согласно отчету. Blockstream отклонила их требование о ответственной раскрытии и отказалась от их требования о 10% вознаграждении.

Амадор заявил, что протоколы должны устанавливать условия спасения до чрезвычайной ситуации, включая действия, которые может предпринять исследователь, и условия вознаграждения. В отчете также описывается рамка Immunefi Whitehat Safe Harbor как способ заранее установить эти условия.

Награды за ошибки могут выявить недостатки, которые упускают аудиты

На вопрос, могла ли одна лишь награда предотвратить атаку на Base, Магальяеш сказал, что сообщество безопасности, вероятно, выявило бы проблему вывода контракта через программу.

"Награда за ошибку определенно могла бы остановить эту атаку, так как вероятно, что сообщество безопасности обнаружило бы эту проблему с флагами в смарт-контракте."

В отчете от 10 августа о результатах награды за ошибки в июле Immunefi сообщила, что исследователи получили 2,32 миллиона долларов за подтвержденные уязвимости в течение месяца. Подтвержденные и оплаченные отчеты увеличились на 18% по сравнению с июнем, в то время как компания сообщила, что ее программы предотвратили 374 угрозы.

В том же отчете приводится сравнение Immunefi 1,178 аудитов ведущих компаний и 58 конкурентных аудитов. По данным компании, конкурсы выявили в среднем 6,2 серьезных уязвимости на одно участие, по сравнению с 1,5 в частных аудитах.

Помимо логики контракта, Магальяеш указал на компрометацию инфраструктуры и ключей как на доказательство того, что проверки безопасности должны охватывать дополнительные пути к средствам пользователей.

20 июля в отчете о рисках подписчиков и инфраструктуры упоминалось, что по данным Hacken, эти сбои составили 88,3% от примерно 764 миллионов долларов, украденных во втором квартале. Среди 1,427 отслеживаемых проектов Hacken обнаружил, что только 4% комбинировали аудиты, активные награды за ошибки и мониторинг третьими сторонами.

Hacken также выявил 14 эксплуатируемых проектов, которые прошли аудиты. Согласно его отчету, сбои включали устройства подписчиков, ключи администраторов, валидаторы мостов и бэкенд-системы, не охваченные традиционными проверками.

Уголовные дела в США показывают ставки несанкционированных выводов

В Соединенных Штатах Министерство юстиции предъявило обвинение инженеру безопасности, который использовал децентрализованные биржи и вел переговоры о возврате украденных активов.

В декабре 2023 года федеральные прокуроры объявили, что Шакеб Ахмед признал себя виновным в компьютерном мошенничестве после взлома двух бирж и получения более 12 миллионов долларов. По данным министерства, Ахмед согласился вернуть средства одной из бирж, кроме 1,5 миллиона долларов, если она не сообщит о нападении правоохранительным органам.

В отдельной атаке на Nirvana Finance прокуроры заявили, что протокол предложил Ахмеду награду до 600,000 долларов за возврат украденных активов. Он вместо этого потребовал 1,4 миллиона долларов, не достиг соглашения и сохранил примерно 3,6 миллиона долларов, которые он забрал, согласно данным Министерства юстиции.