AFX ha anunciado que ha preparado un plan de buena voluntad para los usuarios afectados por el exploit del puente de 24.15 millones de dólares de la semana pasada, con la propuesta de recuperación programada para ser lanzada el 3 de agosto.
Según un anuncio compartido por AFX, el protocolo de derivados descentralizado está finalizando un plan de buena voluntad tras el incidente de seguridad del 22 de julio y publicará los detalles el lunes 3 de agosto. El equipo dijo que inversores, empleados y los primeros partidarios se vieron afectados por el ataque y pidió a la comunidad que mantuviera la paciencia mientras completa la propuesta final.
La actualización llega después de que AFX completara su investigación técnica sobre el exploit, que resultó en el robo de aproximadamente 24.15 millones de USDC de un puente de custodia operado por AFX. El protocolo aún no ha revelado cómo se estructurará la compensación o recuperación, pero dijo que su próximo anuncio se centrará en el plan de buena voluntad.
Declaraciones públicas anteriores confirmaron que el exploit se dirigió a la infraestructura operada por AFX en lugar del puente nativo de Arbitrum. En ese momento, la firma de seguridad blockchain Blockaid y el equipo de Arbitrum investigaron el incidente, mientras que el cofundador de Offchain Labs, Steven Goldfeder, dijo que la transacción sospechosa se originó en un protocolo de terceros en lugar del puente principal de Arbitrum.
En un análisis post-mortem detallado publicado después del incidente, AFX dijo que la brecha se originó a partir de una campaña de ingeniería social contra uno de sus desarrolladores en lugar de una vulnerabilidad en sus contratos inteligentes o infraestructura blockchain. Según el protocolo, el atacante se hizo pasar por un reclutador de una empresa llamada Oddium Lab el 9 de julio y convenció al desarrollador de clonar lo que parecía ser un repositorio de software legítimo.
AFX dijo que el repositorio contenía una configuración maliciosa de Git que ejecutaba una carga útil oculta durante un flujo de trabajo rutinario de Git, lo que le dio al atacante un punto de apoyo inicial dentro de la estación de trabajo del desarrollador. Utilizando el dispositivo comprometido, el atacante expandió gradualmente el acceso a través de los sistemas de desarrollo internos antes de descargar el código fuente del proyecto varios días después.
La investigación dijo que el atacante luego subió un plugin malicioso de Groovy al repositorio de artefactos JFrog del protocolo, obteniendo ejecución remota de código dentro del entorno de entrega de software. Según AFX, los eventos repetidos de falta de memoria en el servidor JFrog fueron tratados inicialmente como problemas operativos con la ayuda del proveedor, lo que permitió que el plugin malicioso sobreviviera a múltiples reinicios sin activar una respuesta de seguridad.
El análisis forense encontró más tarde que el atacante había reemplazado los binarios del sistema con versiones troyanizadas, inyectado bibliotecas compartidas maliciosas e intentado borrar los registros de seguridad antes de que partes del malware fallaran. Los registros de SELinux capturaron tráfico de comando y control saliente, ejecución de shell y ejecución de código en memoria que se convirtieron en evidencia importante durante la investigación, según el informe.
El protocolo dijo que el atacante finalmente pasó del entorno de desarrollo comprometido a su infraestructura operativa utilizando un servicio de gestión interno basado en Ansible que ya tenía acceso privilegiado a los nodos validadores. En lugar de robar nuevas credenciales o explotar un servicio externo, el atacante utilizó las relaciones de confianza existentes para desplegar cargas útiles maliciosas en un subconjunto de validadores.
AFX dijo que los nodos validadores infectados descargaron una carga útil de segunda etapa de un servidor remoto antes de interferir con el manejo de mensajes de consenso. A las 9:27 p.m. UTC del 22 de julio, los validadores afectados co-firmaron una transacción de puente que transfirió aproximadamente 24.15 millones de USDC del puente de custodia operado por AFX.
El protocolo dijo que su investigación no encontró evidencia de que la red de Arbitrum o el puente nativo de Arbitrum hubieran sido comprometidos. El ataque se mantuvo confinado a la infraestructura gestionada por AFX, coincidiendo con las declaraciones emitidas anteriormente por Offchain Labs y Blockaid durante la respuesta inicial.
Los investigadores on-chain rastrearon posteriormente los USDC robados después de que se movieran de Arbitrum a Ethereum, donde las ganancias se convirtieron en aproximadamente 12,467 ETH. En el momento de la investigación inicial, ningún informe público confirmó que se hubiera recuperado alguna parte de los activos robados.
Según AFX, el incidente demostró que los ataques a la cadena de suministro de software pueden eludir la seguridad blockchain sin explotar directamente los contratos inteligentes. El protocolo concluyó que el ataque se basó en herramientas de desarrollo de confianza, sistemas de despliegue internos e infraestructura de validadores en lugar de debilidades en el código on-chain.
El informe dijo que el protocolo ha reconstruido la infraestructura afectada, rotado las credenciales operativas, aumentado la sensibilidad de la monitorización y migrado los sistemas de producción a un entorno más aislado con segmentación de confianza cero. El trabajo adicional planificado para los próximos meses incluye una monitorización del comportamiento más sólida, revisiones de seguridad obligatorias antes de reiniciar los servicios de producción, ejercicios ampliados de búsqueda de amenazas y capacitación de empleados contra ataques de ingeniería social.
Basándose en la evidencia forense, las técnicas de ataque y la infraestructura observada durante la investigación, AFX dijo que sus hallazgos son consistentes con la atribución independiente que vincula el incidente con UNC4899, también conocido como TraderTraitor, un grupo de amenazas vinculado a la RPDC y rastreado por Mandiant, Microsoft Threat Intelligence, el FBI y CISA. El protocolo dijo que continúa trabajando con socios de seguridad externos para rastrear los activos robados y apoyar los esfuerzos de respuesta en curso.
Los últimos hallazgos se suman a una serie de incidentes en los que los protocolos han concluido que los atacantes comprometieron la infraestructura de soporte en lugar de explotar fallas en los contratos inteligentes.
El 30 de julio, Ostium dijo que su investigación sobre un exploit separado de 23.75 millones de USDC encontró que el acceso no autorizado a la infraestructura fuera de la cadena permitió que informes fraudulentos de precios de BTC-USD drenaran fondos de su bóveda de liquidez, mientras que sus contratos inteligentes y multisigs de gobernanza permanecieron sin comprometerse.
A principios de este mes, la firma de pagos de stablecoin con sede en Singapur, Triple-A, también reveló un acceso no autorizado a las billeteras de tesorería que contenían activos digitales propiedad de la empresa, aunque dijo que los fondos de los clientes y las operaciones de pago no se vieron afectados.
