Проект кросчейн міст зазнав атаки, збитки становлять до 80 мільйонів доларів
На початку нового року 2024 року значна подія безпеки шокувала криптовалютний світ. Один з кросчейн міст зазнав хакерської атаки, збитки склали близько 80 мільйонів доларів. За даними платформи моніторингу ризиків безпеки, зловмисники почали невелику пробну атаку ще за день до цього та використали вкрадені ETH для забезпечення комісійних витрат для подальшої масової атаки.
Цей кросчейн міст проект дозволяє користувачам переміщати криптоактиви між різними блокчейн-мережами. Наразі розробники призупинили роботу контракту кросчейн мосту та намагаються зв'язатися з атакувальниками.
Аналіз подій
Ця атака в основному здійснювалася шляхом прямого виклику функції withdraw контракту кросчейн моста для переміщення активів. Подальший аналіз показав, що ця функція використовує механізм перевірки підпису для забезпечення законності операції зняття.
У блокчейн-транзакціях перевірка підпису є поширеним заходом безпеки, що використовується для підтвердження особи та повноважень ініціатора транзакції. Функція withdraw забезпечує, що тільки авторизовані особи можуть успішно викликати її та переміщати активи, перевіряючи підпис.
Функція перевірки підпису повертає кількість підписів власника, що є критично важливим для перевірки законності угоди. Система порівнює повернуту кількість підписів з установленим порогом, щоб вирішити, чи виконувати угоду.
Згідно з даними в ланцюгу, цей контракт має 10 адрес адміністраторів, значення required становить 7, що означає, що для виведення активів потрібно підписання 70% адміністраторів.
Отже, ця подія, ймовірно, сталася через те, що сервер, на якому зберігалися приватні ключі адміністратора, зазнав атаки шахраїв.
Процес атаки
Дані з ланцюга свідчать, що зловмисники 30 грудня 2023 року розпочали невелику атаку на цей проєкт та розподілили невелику кількість вкраденого ETH на інші адреси атак, як комісії за транзакції.
Потім, 31 грудня ввечері, кілька адрес атакували активи проекту, такі як DAI, WBTC, ETH, USDC та USDT, у масштабній атаці.
Напрямок фінансів
Станом на момент звіту, вкрадені кошти були переведені на п'ять різних адрес. Зловмисники через п'ять незалежних транзакцій перевели приблизно 50 мільйонів доларів США у стейблкоїнах (включаючи 30 мільйонів Tether, 10 мільйонів DAI та 10 мільйонів USDC), 231 wBTC (вартістю приблизно 10 мільйонів доларів США) та 9500 ETH (вартістю приблизно 21,5 мільйона доларів США) на нові адреси гаманців.
Безпекові настанови
Ця подія ще раз підкреслила важливість безпеки системи блокчейн. При проектуванні та реалізації проектів блокчейн ми завжди повинні ставити безпеку на перше місце.
По-перше, безпека коду контракту є вкрай важливою. Як ядро блокчейн-системи, код контракту має суворо дотримуватись найкращих практик та стандартів безпеки під час написання та перевірки, щоб уникнути поширених вразливостей.
По-друге, ефективна система автентифікації та управління правами є незамінною. Використання потужної системи автентифікації, багатопідпису та суворого контролю прав може ефективно запобігти несанкціонованому доступу та втраті активів, забезпечуючи, що лише уповноважені особи можуть виконувати чутливі операції.
Переглянути оригінал
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
Новий рік жаху: кросчейн міст зазнав атаки Хакера, збитки сягнули 80 мільйонів доларів
Проект кросчейн міст зазнав атаки, збитки становлять до 80 мільйонів доларів
На початку нового року 2024 року значна подія безпеки шокувала криптовалютний світ. Один з кросчейн міст зазнав хакерської атаки, збитки склали близько 80 мільйонів доларів. За даними платформи моніторингу ризиків безпеки, зловмисники почали невелику пробну атаку ще за день до цього та використали вкрадені ETH для забезпечення комісійних витрат для подальшої масової атаки.
Цей кросчейн міст проект дозволяє користувачам переміщати криптоактиви між різними блокчейн-мережами. Наразі розробники призупинили роботу контракту кросчейн мосту та намагаються зв'язатися з атакувальниками.
Аналіз подій
Ця атака в основному здійснювалася шляхом прямого виклику функції withdraw контракту кросчейн моста для переміщення активів. Подальший аналіз показав, що ця функція використовує механізм перевірки підпису для забезпечення законності операції зняття.
У блокчейн-транзакціях перевірка підпису є поширеним заходом безпеки, що використовується для підтвердження особи та повноважень ініціатора транзакції. Функція withdraw забезпечує, що тільки авторизовані особи можуть успішно викликати її та переміщати активи, перевіряючи підпис.
Функція перевірки підпису повертає кількість підписів власника, що є критично важливим для перевірки законності угоди. Система порівнює повернуту кількість підписів з установленим порогом, щоб вирішити, чи виконувати угоду.
Згідно з даними в ланцюгу, цей контракт має 10 адрес адміністраторів, значення required становить 7, що означає, що для виведення активів потрібно підписання 70% адміністраторів.
Отже, ця подія, ймовірно, сталася через те, що сервер, на якому зберігалися приватні ключі адміністратора, зазнав атаки шахраїв.
Процес атаки
Дані з ланцюга свідчать, що зловмисники 30 грудня 2023 року розпочали невелику атаку на цей проєкт та розподілили невелику кількість вкраденого ETH на інші адреси атак, як комісії за транзакції.
Потім, 31 грудня ввечері, кілька адрес атакували активи проекту, такі як DAI, WBTC, ETH, USDC та USDT, у масштабній атаці.
Напрямок фінансів
Станом на момент звіту, вкрадені кошти були переведені на п'ять різних адрес. Зловмисники через п'ять незалежних транзакцій перевели приблизно 50 мільйонів доларів США у стейблкоїнах (включаючи 30 мільйонів Tether, 10 мільйонів DAI та 10 мільйонів USDC), 231 wBTC (вартістю приблизно 10 мільйонів доларів США) та 9500 ETH (вартістю приблизно 21,5 мільйона доларів США) на нові адреси гаманців.
Безпекові настанови
Ця подія ще раз підкреслила важливість безпеки системи блокчейн. При проектуванні та реалізації проектів блокчейн ми завжди повинні ставити безпеку на перше місце.
По-перше, безпека коду контракту є вкрай важливою. Як ядро блокчейн-системи, код контракту має суворо дотримуватись найкращих практик та стандартів безпеки під час написання та перевірки, щоб уникнути поширених вразливостей.
По-друге, ефективна система автентифікації та управління правами є незамінною. Використання потужної системи автентифікації, багатопідпису та суворого контролю прав може ефективно запобігти несанкціонованому доступу та втраті активів, забезпечуючи, що лише уповноважені особи можуть виконувати чутливі операції.