Атаки на блокчейні: за 4 дні 3 випадки, поки ринок зростає, хакери стають «активнішими»

Зараз важливо стежити не за наративом, а за тим, хто може випускати монети, хто може змінювати параметри, і чи є хтось, хто слідкує за пропозиціями, коли вони розміщені на ланцюгу.

Автор: Мах, Foresight News

Менше ніж за тиждень три криптопротоколи стали мішенню для зловмисників.

20 серпня платіжний блокчейн Keeta Network перевів свою основну мережу в режим тільки для читання, заявивши, що один з компонентів має проблеми з безпекою, і висунув вимогу повернути кошти протягом 72 годин; 22 серпня проект метавсесвіту The Sandbox зазнав атаки на крос-ланцюгове випускання, зловмисники випустили велику кількість SAND на Base та BNB Chain, а команда проекту відключила два ланцюгові мости, безпекова агенція оцінила, що фактично було вкрадено резервів на суму близько 670 тисяч доларів; 23 серпня протокол фіксованих ставок Term Finance через виконання пропозиції управління втратив близько 2843 ETH та 1,68 мільйона USDC, що призвело до збитків приблизно в 8,5 мільйона доларів.

Ці три випадки не пов'язані між собою, і шляхи атак різні, але всі вони сталися в один тиждень.

Keeta: основна мережа переведена в режим тільки для читання

Keeta — це платіжний блокчейн, його співзасновник та CEO Ty (аккаунт X @schenkty) в оновленні 20 серпня заявив, що раптово опублікував твіт, в якому повідомив, що причина його інциденту з безпекою була знайдена, проблема обмежена постраждалим компонентом і не стосується системи прив'язки та зовнішніх з'єднань; KTA, розгорнутий на Base, не постраждав.

Як запобіжний захід основна мережа була переведена в режим тільки для читання, і буде відновлена повна робота після завершення тестування патчу та додаткових заходів безпеки. Команда також повідомила, що оцінює, як повністю компенсувати постраждалих користувачів, і заявила, що стратегічні резерви можуть покрити втрачені кошти за потреби.

Офіційно ще не було опубліковано аудиторського звіту про «загальну суму крадіжки». Lookonchain зафіксував нову адресу, яка через крос-ланцюговий міст отримала близько 9,3 мільйона KTA (на той момент приблизно 685 тисяч доларів) та близько 2 мільярдів GALA, які потім були продані за приблизно 1902 ETH (близько 364 тисяч доларів).

19 серпня ціна KTA впала з максимуму 0,09 долара до мінімуму 0,05 долара, що становить падіння приблизно на 37%, наразі вона відновилася до 0,077 долара.

22 серпня Ty знову опублікував заяву, що розслідування досягло суттєвого прогресу, і було зібрано докази, які можуть вказувати на зловмисників, включаючи IP-адреси, VPN та VPS, які використовувалися, агент користувача та технічне середовище під час несанкціонованих запитів, пов'язані електронні адреси, а також інформацію про постачальників програмного забезпечення та інфраструктури; докази були збережені та передані відповідним сторонам. У заяві вимагалося повернути всі отримані кошти протягом 72 годин, які можуть бути переведені у KTA, ETH або USDC на адресу Base. Якщо всі кошти будуть повернуті, Keeta готова обговорити винагороду за вразливість і закрити справу без юридичних наслідків; у разі прострочення зберігається право на юридичну відповідальність та повернення коштів.

Офіційний технічний звіт обіцяють опублікувати після перевірки розслідування. Станом на 24 серпня основна мережа все ще в режимі тільки для читання, деталі компенсації не оприлюднені, і невідомо, чи буде виконано 72-годинне вікно.

Уроки з цього інциденту не є складними: коли ланцюг застосувань записує «хто може змінювати права» як за замовчуванням вільно або може бути обійдено, зупинка ланцюга часто відбувається швидше, ніж виправлення. Keeta вибрала опублікувати частину поза ланцюгом і встановити термін повернення, що не є поширеним у випадках крадіжки в останні роки, але чи повернуться гроші, чи звіт зможе відповідати даним на ланцюгу, стане стандартом для оцінки цього підходу.

The Sandbox: випуск фальшивих монет у величезних обсягах

22 серпня крос-ланцюговий контракт SAND, розгорнутий на Base, зазнав атаки. Зловмисники через approveAndCall отримали контроль над представницькими правами LayerZero, продовжуючи випускати SAND без застави на основній мережі Ethereum, що також вплинуло на BNB Chain. Основний рівень протоколу LayerZero не був зламаний.

Команда проекту негайно відключила двостороннє з'єднання з Base та BNB Chain. Офіційно було оголошено про випуск близько 14,9 мільярда SAND, а фактичний обсяг на спот-ринку становив кілька сотень мільйонів доларів, насправді з резервів Ethereum було виведено та реалізовано близько 14,75 мільйона SAND та приблизно 80 ETH, що становить близько 670 тисяч доларів. SAND на Ethereum та Polygon, а також гаманці користувачів та застави основної мережі, за словами команди проекту, не постраждали.

Крос-ланцюг SAND використовує OFT LayerZero: випуск на стороні повинен відповідати блокуванню на основній мережі, а представники вузлів визначають, хто може випускати на цільовому ланцюзі. Уразливість полягала в контракті команди проекту approveAndCall, який був використаний для зміни делегованих прав, що призвело до дійсності фальшивого крос-ланцюгового випуску.

Офіційно заявлено, що уразливість контролюється, і вона не вплине на загальну пропозицію на 0,01%, а інвесторам нагадали не торгувати SAND на Base та BSC. Біржі Upbit та Bithumb призупинили депозити та зняття.

Станом на момент публікації, ціна SAND впала з 0,05 долара до 0,045 долара.

Term Finance — це протокол кредитування з фіксованою ставкою на Ethereum. 23 серпня одна транзакція Ethereum виконала пропозицію управління, яка була опублікована на ланцюзі близько шести днів. Кількість голосів проти на сторінці голосування становила нуль. Зміст пропозиції включав закриття попереднього періоду охолодження торгів тривалістю близько 7 днів, після чого з ETH Meta Vault було виведено близько 2842 WETH.

Приблизно через 20 хвилин друга транзакція вивела з п'яти кошиків USDC близько 1,68 мільйона USDC та обміняла їх на DAI. PeckShield підрахував, що зловмисники вивели близько 2843 ETH (на той момент близько 690 тисяч доларів) та 1,68 мільйона USDC.

Цей інцидент не є повторним входом смарт-контракту і не є маніпуляцією оракула, а є результатом того, що управління пройшло через «подання --- очікування --- відсутність заперечень --- виконання» відповідно до дизайну протоколу. Зовнішній аналіз вказує на те, що зловмисники отримали майже всі голоси в стратегії USDC, коли обіг токенів управління був низьким, а також близько 90% контролю над ETH Meta Vault, а потім записали виведені кошти як дійсне управлінське рішення.

Станом на зараз Term Labs повідомляє, що всі Term Meta Vaults були закриті, роль управління DAO була анульована, це закриття є незворотним і назавжди забороняє подальші депозити. Виведення все ще можливе. Офіційно заявлено, що за поточним розслідуванням базовий протокол Term та його безпосередній ринок кредитування не постраждали, і триває співпраця з зовнішніми командами безпеки для проведення відновлення.

Атаки на управління в останні роки не є рідкістю. Коли голоси зосереджені, а участь у голосуванні низька, такі атаки особливо ефективні.

У липні цього року, кошик BonkDAO зазнав атаки зловмисної пропозиції управління, в результаті чого було вкрадено токени BONK на суму близько 20 мільйонів доларів. Зловмисники пов'язані з адресою, яка перед початком пропозиції купила BONK через CEX-гаманець, а потім маніпулювали голосуванням, врешті-решт «публічно» вивели величезні кошти відповідно до процедури управління.

Keeta зупинила всю основну мережу, спочатку закривши права компонентів, а потім перейшовши до компенсації та 72-годинного повернення. Sandbox відключив мости, теоретично можна випустити величезну кількість, але реально доступні резерви становлять близько 60 тисяч доларів, суперечка зосередиться на тому, як компенсувати LP. Пропозиція Term висіла шість днів, голосів проти не було, період охолодження все ще можна закрити тією ж пропозицією, а близько 8,5 мільйона доларів було виведено відповідно до процедури управління.

Зараз важливо стежити не за наративом, а за тим, хто може випускати монети, хто може змінювати параметри, і чи є хтось, хто слідкує за пропозиціями, коли вони розміщені на ланцюгу.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.