Noma’lum kimga tegishli bo‘lgan g‘azna 60 ming dollar ko‘p imzoli zaiflik hujumiga uchradi, 317 ming dollar xavf ostida

Xavfsizlik tadqiqotchilari noma’lum identifikatsiyaga ega bir vault kontraktining... asosiy qiymat hujumchisi uning oq ro‘yxat va ko‘p imzoli boshqaruv mexanizmidagi zaiflikdan foydalangan va bu blockchain taxminan 6 million dollar yo‘qotishiga olib kelganini oshkor qildi. Ushbu hodisa 4-oktabrda aniqlangan, o‘shanda blockchain xavfsizlik kompaniyasi Blockaid g‘ayrioddiy chiqarib olish holatini aniqladi. Taxminan 40 daqiqa ichida yo‘qotishlar 20,200 dollardan taxminan 6 million dollargacha oshdi.

GoPlus, PeckShield, CertiK va Exvul ma’lumotlariga ko‘ra, hujumchi vaultdan 1,783.067 ta aBaswstETH qarz olib, ushbu tokenlarni Aave kvitansiyalari bilan almashtirdi va taxminan 1,783 ta wstETH oldi. aBaswstETH — bu Aave Base bozori uchun ta’minlangan qadoqlangan steyking Ethereum tokenlarini ifodalaydi.

Ushbu hujum Aave asosiy lending kontraktlari yoki Base tarmog‘idagi zaiflik bilan bog‘liq emas. Tergovchilar ushbu o‘g‘rilik vaultning ko‘p imzoli boshqaruvi va kirish nazorati mexanizmidagi xatolikdan kelib chiqqanini aniqlashdi. Yangi yaratilgan kontrakt Safe ko‘p imzoli tranzaksiyasi orqali vaultning qarz olish oq ro‘yxatiga qo‘shilgan. Oq ro‘yxatga kiritilgach, ushbu kontrakt vaultning Aave pozitsiyalarini qarzga olib, asosiy aktivlarni tiklash imkoniga ega bo‘ldi.

Vault operatsion egasi Safe Proxy Factory 1.4.1 yordamida yaratilgan uchta Safe akkaunt hisoblanadi. Yettita imzo adresi ushbu akkauntlarni boshqaradi, ammo ularning shaxsi hali ma’lum emas. Tergovchilar zanjir ustidagi tranzaksiyalarni kuzatishi mumkin, lekin faqat blockchain yozuvlaridan oq ro‘yxat yangilanishi ma’lumotlar o‘g‘irlanishidanmi, ijtimoiy muhandislik hujumidanmi, ichki xavfdanmi yoki boshqa boshqaruv xatolaridan kelib chiqqanini aniqlash mumkin emas.

E’tiborga molik jihati shuki, hujum sodir bo‘lishidan oldingi 25 kun davomida bu vaultda hech qanday tranzaksiya bo‘lmagan, ammo hujum vaqtida birdaniga ikki tranzaksiya amalga oshirilgan. Bu to‘satdan faollik imzochilar shaxsi buzilganmi yoki ichki xodim o‘zgarishni tasdiqlaganini ko‘rsatishi mumkin. Hozircha hech bir xavfsizlik kompaniyasi qaysi izoh to‘g‘ri ekani haqida ochiq tasdiq bermagan.

Talabgor topilmagan egalik va qolayotgan xavf ochilishi

Ma’lum egalari yo‘qligi tufayli himoya choralarini ko‘rish murakkab bo‘ldi. Hech bir loyiha jamoasi ushbu vaultning mavjudligini ochiq tan olmagan va na biror muammoni bartaraf qilish rejasini, na esa ruxsatsiz oq ro‘yxat qo‘shilishini qanday tasdiqlanganini izohlamagan. Bu vault OpenZeppelin shaffof proksiysi bo‘lib, mustaqil yangilash huquqlariga ega va bu aktiv egasi hamda yakuniy boshqaruvchi o‘rtasida yana bir kontrakt qatlamini hosil qiladi.

Xabar qilinishicha, chiqarib olinganidan so‘ng vaultda yana taxminan 317,000 dollar aktiv qolgan. Keyin noma’lum identifikatsiyaga ega on-chain foydalanuvchi hujumchiga xabar yuborib, qolgan mablag‘larni ham olishga va choychaqa olishga undagan, ammo hozircha hech qanday ochiq javob olinmagan.

Hozircha tizimli bevosita xavf katta emasdek tuyuladi, chunki Aave’ning Base’dagi joylanishi va asosiy blockchain bundan ta’sir ko‘rmadi. Lekin ushbu voqea privilegiyalarga ega boshqaruv funksiyalari ushbu boshqarilayotgan smart-kontraktlarga nisbatan ham xavfli bo‘lishi mumkinligini ko‘rsatmoqda. Imzochilarning kimligi, tranzaksiya ko‘rib chiqish va ichki boshqaruvlar kuchsiz bo‘lsa, faqat ko‘p imzoli tasdiqlash xavfsizlikka kafolat bermaydi.

Bu voqea shuningdek wstETH likvidligi bo‘yicha ham xavotirlarni yuzaga chiqardi. Taxminan 1,783 ta wstETH’ning bozorga chiqarilishi qisqa muddatli bosim keltirishi mumkin, garchi kvitansiya tokenining umumiy barqarorligiga xavf hozircha sezilmasa-da. Safe imzochilari, vault boshqaruv tashkiloti yoki hujumchi shaxsini ochiqlasa, yana ko‘plab tafsilotlar ma’lum bo‘lishi mumkin.