Un atacante ha drenado aproximadamente $72,000 en tokens STRONG y STRNGR después de tomar el control del sistema de gobernanza en cadena abandonado de StrongBlock a través de una propuesta maliciosa.
Según la firma de seguridad blockchain Defimon Alerts, el atacante adquirió suficiente poder de voto en la gobernanza de StrongBlock para aprobar una propuesta que, en última instancia, transfirió el control administrativo del contrato Governor del protocolo antes de que se retiraran los fondos.
En lugar de explotar una falla en los contratos inteligentes de StrongBlock, el atacante utilizó el propio proceso de gobernanza del protocolo para obtener acceso privilegiado. Después de obtener los derechos de administrador, el atacante actualizó el proxy del Governor a una nueva implementación que permitía llamadas de contrato arbitrarias utilizando la autoridad del Governor.
El incidente se suma a una serie de eventos recientes de seguridad cripto que han dirigido ataques a sistemas de gobernanza, infraestructura de soporte y software de billetera a través de diferentes rutas de ataque, en lugar de depender únicamente de errores en los contratos inteligentes.
Antes de que se desarrollara el ataque, el atacante acumuló la mayoría del token de gobernanza STRONG del protocolo, que Defimon Alerts describió como algo que se había vuelto casi sin valor después de que el proyecto fuera abandonado.
Con suficiente poder de voto, el atacante presentó una propuesta de gobernanza instruyendo al contrato Upgrader del Governor para ejecutar setPendingAdmin(atacante), convirtiendo la dirección del atacante en el administrador pendiente.
En lugar de pasar por alto la gobernanza, la propuesta avanzó a través de cada etapa requerida. Recibió suficientes votos, entró en la cola y fue ejecutada de acuerdo con el proceso de gobernanza normal del protocolo, transfiriendo finalmente el control administrativo del proxy del Governor al atacante.
Los privilegios administrativos permitieron entonces al atacante reemplazar la implementación del Governor con un contrato mínimo y no verificado que contenía una función forward(address, bytes).
Según Defimon Alerts, la función estaba restringida a la cuenta de propiedad externa del atacante y sirvió efectivamente como un mecanismo de llamada arbitraria, permitiendo al atacante ejecutar transacciones con la autoridad del Governor a través de los contratos de StrongBlock.
Las transferencias de tokens ocurrieron en la siguiente transacción.
Utilizando la implementación actualizada, el atacante ejecutó transacciones que transfirieron activos del pool del protocolo en lugar de explotar un error en la lógica del contrato del protocolo.
Defimon Alerts dijo que el atacante retiró 32,695 tokens STRONG junto con 383,447 STRNGR, lo que eleva el valor estimado de los activos robados a aproximadamente $72,000.
La firma de seguridad caracterizó el incidente como una toma de control de la gobernanza porque cada acción crítica, incluyendo el cambio de administrador y la actualización del contrato, ocurrió a través de permisos de gobernanza en lugar de una vulnerabilidad de software.
Al reemplazar la implementación del Governor antes de mover los fondos, el atacante convirtió el propio contrato de gobernanza en el mecanismo utilizado para autorizar las transferencias.
Recientes incidentes de seguridad han demostrado que los atacantes se dirigen cada vez más a diferentes partes de la infraestructura cripto.
A fines del mes pasado, el protocolo de perpetuos descentralizado Ostium concluyó que los atacantes robaron 23.75 millones de USDC después de obtener acceso no autorizado a su infraestructura fuera de la cadena en lugar de explotar vulnerabilidades en sus contratos inteligentes.
Según el análisis post-mortem de Ostium, los informes fraudulentos de precios BTC-USD enviados a través de infraestructura confiable permitieron al atacante generar ganancias comerciales artificiales que se liquidaron contra la bóveda de liquidez OLP pública del protocolo. Un análisis anterior de la firma de seguridad blockchain Blockaid concluyó de manera similar que los informes de oráculo manipulados, en lugar de fallas en el código del contrato, permitieron el exploit.
Por separado, el incidente de la billetera Coldcard se originó por un problema de firmware introducido durante una actualización de software en marzo de 2021. Los equipos de ingeniería y seguridad de Bitcoin de Coinkite y Block concluyeron que el firmware afectado generó semillas de billetera utilizando un generador pseudoaleatorio determinista en lugar del generador de números aleatorios de hardware previsto, reduciendo la entropía utilizada para crear claves privadas.
Galaxy Research ha confirmado robos por un total de 1,596 BTC en aproximadamente 7,300 direcciones vinculadas a tres oleadas de ataque. La firma de investigación también ha identificado una sospechosa cuarta oleada coordinada que involucra otros 448.7 BTC, aunque aún no ha incluido esas direcciones en su total confirmado porque la confirmación adicional de víctimas sigue pendiente.
El incidente de Coldcard ha impulsado a los desarrolladores a revisar una porción mucho más grande del ecosistema de software de Bitcoin.
A principios de esta semana, el desarrollador de Bitcoin Calle dijo que el equipo voluntario Bitcoin Red Team había completado revisiones asistidas por IA y manuales en 390 repositorios relacionados con Bitcoin, identificando 4,962 posibles problemas de seguridad, incluyendo 720 clasificados como de gravedad alta o crítica.
Según Calle, aproximadamente el 21.4% de los hallazgos reportados ya han sido reproducidos mediante verificación manual antes de ser revelados de forma privada a los desarrolladores afectados.
La campaña de revisión cubre billeteras de Bitcoin, bibliotecas criptográficas, software de infraestructura y otros proyectos de código abierto. Calle dijo que OpenSats está financiando aproximadamente $10,000 por día en costos de computación, mientras que Kimi Moonshot ha proporcionado cuentas de IA y acceso a su modelo Kimi K3 para apoyar el esfuerzo.
A diferencia del exploit de Ostium o el incidente de la billetera Coldcard, el ataque a StrongBlock no se basó en infraestructura comprometida, manipulación de oráculos o debilidades criptográficas.
En cambio, el atacante primero obtuvo el control de la gobernanza antes de modificar el propio contrato de administrador del protocolo.
Según Defimon Alerts, la actualización del proxy del Governor a una implementación que contiene la función restringida forward(address, bytes) otorgó a la billetera del atacante autoridad exclusiva para ejecutar llamadas arbitrarias a través del contrato del Governor.
Los activos robados fueron transferidos usando permisos que el propio protocolo concedió después de que la propuesta de gobernanza se completó, ilustrando cómo los sistemas de gobernanza abandonados pueden seguir ejerciendo control administrativo sobre los contratos del protocolo incluso después de que la actividad de desarrollo haya cesado en gran medida.
