AFX a annoncé avoir préparé un plan de bonne volonté pour les utilisateurs affectés par l'exploit de pont de 24,15 millions de dollars de la semaine dernière, la proposition de récupération devant être publiée le 3 août.
Selon une annonce partagée par AFX, le protocole de dérivés décentralisés finalise un plan de bonne volonté suite à l'incident de sécurité du 22 juillet et publiera les détails le lundi 3 août. L'équipe a déclaré que les investisseurs, les employés et les premiers supporters avaient tous été affectés par l'attaque et a demandé à la communauté de rester patiente pendant qu'elle finalise la proposition.
Cette mise à jour intervient après qu'AFX a terminé son enquête technique sur l'exploit, qui a entraîné le vol d'environ 24,15 millions d'USDC d'un pont de garde opéré par AFX. Le protocole n'a pas encore divulgué comment la compensation ou la récupération sera structurée, mais a déclaré que sa prochaine annonce se concentrera sur le plan de bonne volonté.
Des déclarations publiques antérieures ont confirmé que l'exploit visait l'infrastructure exploitée par AFX plutôt que le pont natif d'Arbitrum. À l'époque, la firme de sécurité blockchain Blockaid et l'équipe Arbitrum ont enquêté sur l'incident, tandis que le co-fondateur d'Offchain Labs, Steven Goldfeder, a déclaré que la transaction suspecte provenait d'un protocole tiers plutôt que du pont central d'Arbitrum.
Dans un rapport post-mortem détaillé publié après l'incident, AFX a déclaré que la brèche provenait d'une campagne d'ingénierie sociale contre l'un de ses développeurs plutôt que d'une vulnérabilité dans ses contrats intelligents ou son infrastructure blockchain. Selon le protocole, l'attaquant s'est fait passer pour un recruteur d'une société appelée Oddium Lab le 9 juillet et a convaincu le développeur de cloner ce qui semblait être un dépôt de logiciel légitime.
AFX a déclaré que le dépôt contenait une configuration Git malveillante qui a exécuté une charge utile cachée lors d'un flux de travail Git de routine, donnant à l'attaquant un premier point d'entrée dans le poste de travail du développeur. À l'aide de l'appareil compromis, l'attaquant a progressivement étendu son accès aux systèmes de développement internes avant de télécharger le code source du projet plusieurs jours plus tard.
L'enquête a révélé que l'attaquant a ensuite téléchargé un plugin Groovy malveillant dans le dépôt d'artefacts JFrog du protocole, obtenant une exécution de code à distance dans l'environnement de livraison de logiciels. Selon AFX, des événements répétés de manque de mémoire sur le serveur JFrog ont d'abord été traités comme des problèmes opérationnels avec l'aide du fournisseur, permettant au plugin malveillant de survivre à plusieurs redémarrages sans déclencher de réponse de sécurité.
L'analyse forensique a ensuite révélé que l'attaquant avait remplacé les binaires système par des versions troyanisées, injecté des bibliothèques partagées malveillantes et tenté d'effacer les journaux de sécurité avant que des parties du logiciel malveillant ne plantent. Les journaux SELinux ont capturé le trafic de commande et de contrôle sortant, l'exécution de shell et l'exécution de code en mémoire, ce qui est devenu une preuve importante pendant l'enquête, selon le rapport.
Le protocole a déclaré que l'attaquant a finalement pivoté de l'environnement de développement compromis vers son infrastructure opérationnelle en utilisant un service de gestion interne basé sur Ansible qui détenait déjà un accès privilégié aux nœuds validateurs. Plutôt que de voler de nouvelles informations d'identification ou d'exploiter un service externe, l'attaquant a utilisé les relations de confiance existantes pour déployer des charges utiles malveillantes sur un sous-ensemble de validateurs.
AFX a déclaré que les nœuds validateurs infectés ont téléchargé une charge utile de deuxième étape depuis un serveur distant avant d'interférer avec la gestion des messages de consensus. À 21h27 UTC le 22 juillet, les validateurs affectés ont cosigné une transaction de pont qui a transféré environ 24,15 millions d'USDC du pont de garde opéré par AFX.
Le protocole a déclaré que son enquête n'a trouvé aucune preuve que le réseau Arbitrum ou le pont natif d'Arbitrum aient été compromis. L'attaque est restée confinée à l'infrastructure gérée par AFX, correspondant aux déclarations précédemment émises par Offchain Labs et Blockaid lors de la réponse initiale.
Les enquêteurs on-chain ont ensuite retracé les USDC volés après qu'ils ont été transférés d'Arbitrum à Ethereum, où les produits ont été convertis en environ 12 467 ETH. Au moment de l'enquête initiale, aucun rapport public n'a confirmé qu'une partie des actifs volés avait été récupérée.
Selon AFX, l'incident a démontré que les attaques de la chaîne d'approvisionnement logicielle peuvent contourner la sécurité de la blockchain sans exploiter directement les contrats intelligents. Le protocole a conclu que l'attaque reposait sur des outils de développement fiables, des systèmes de déploiement internes et une infrastructure de validateurs plutôt que sur des faiblesses dans le code on-chain.
Le rapport indique que le protocole a reconstruit l'infrastructure affectée, fait pivoter les informations d'identification opérationnelles, augmenté la sensibilité de la surveillance et migré les systèmes de production vers un environnement plus isolé avec une segmentation Zero Trust. Des travaux supplémentaires prévus dans les mois à venir incluent une surveillance comportementale plus stricte, des examens de sécurité obligatoires avant le redémarrage des services de production, des exercices de recherche de menaces étendus et une formation des employés contre les attaques d'ingénierie sociale.
Sur la base des preuves forensiques, des techniques d'attaque et de l'infrastructure observées pendant l'enquête, AFX a déclaré que ses conclusions sont cohérentes avec l'attribution indépendante liant l'incident à UNC4899, également connu sous le nom de TraderTraitor, un groupe de menaces lié à la RPDC et suivi par Mandiant, Microsoft Threat Intelligence, le FBI et la CISA. Le protocole a déclaré qu'il continue de travailler avec des partenaires de sécurité externes pour retrouver les actifs volés et soutenir les efforts de réponse en cours.
Les dernières découvertes s'ajoutent à une série d'incidents dans lesquels les protocoles ont conclu que des attaquants avaient compromis l'infrastructure de support au lieu d'exploiter des failles dans les contrats intelligents.
Le 30 juillet, Ostium a déclaré que son enquête sur un exploit distinct de 23,75 millions d'USDC avait révélé qu'un accès non autorisé à l'infrastructure hors chaîne avait permis à des rapports de prix BTC-USD frauduleux de siphonner des fonds de son coffre de liquidité, tandis que ses contrats intelligents et ses multisigs de gouvernance restaient non compromis.
Plus tôt ce mois-ci, la firme de paiements de stablecoins basée à Singapour, Triple-A, a également révélé un accès non autorisé à des portefeuilles de trésorerie détenant des actifs numériques appartenant à l'entreprise, bien qu'elle ait déclaré que les fonds des clients et les opérations de paiement n'avaient pas été affectés.
