AFX telah mengumumkan bahwa mereka telah menyiapkan rencana niat baik untuk pengguna yang terkena dampak eksploitasi jembatan senilai $24,15 juta minggu lalu, dengan proposal pemulihan dijadwalkan akan dirilis pada 3 Agustus.
Menurut pengumuman yang dibagikan oleh AFX, protokol derivatif terdesentralisasi tersebut sedang menyelesaikan rencana niat baik menyusul insiden keamanan 22 Juli dan akan menerbitkan detailnya pada Senin, 3 Agustus. Tim mengatakan investor, karyawan, dan pendukung awal semuanya telah terpengaruh oleh serangan tersebut dan meminta komunitas untuk tetap bersabar selagi mereka menyelesaikan proposal final.
Pembaruan ini datang setelah AFX menyelesaikan investigasi teknisnya terhadap eksploitasi, yang mengakibatkan pencurian sekitar 24,15 juta USDC dari jembatan kustodian yang dioperasikan AFX. Protokol tersebut belum mengungkapkan bagaimana kompensasi atau pemulihan akan distrukturkan, tetapi mengatakan pengumuman berikutnya akan berfokus pada rencana niat baik.
Pernyataan publik sebelumnya mengkonfirmasi bahwa eksploitasi menargetkan infrastruktur yang dioperasikan oleh AFX daripada jembatan asli Arbitrum. Pada saat itu, perusahaan keamanan blockchain Blockaid dan tim Arbitrum menyelidiki insiden tersebut, sementara salah satu pendiri Offchain Labs Steven Goldfeder mengatakan transaksi mencurigakan itu berasal dari protokol pihak ketiga alih-alih jembatan inti Arbitrum.
Dalam post-mortem terperinci yang dirilis setelah insiden tersebut, AFX mengatakan pelanggaran berasal dari kampanye rekayasa sosial terhadap salah satu pengembangnya daripada kerentanan dalam kontrak pintarnya atau infrastruktur blockchain. Menurut protokol tersebut, penyerang menyamar sebagai perekrut dari sebuah perusahaan bernama Oddium Lab pada 9 Juli dan meyakinkan pengembang untuk mengkloning apa yang tampak seperti repositori perangkat lunak yang sah.
AFX mengatakan repositori tersebut berisi konfigurasi Git berbahaya yang mengeksekusi muatan tersembunyi selama alur kerja Git rutin, memberikan penyerang pijakan awal di dalam workstation pengembang. Menggunakan perangkat yang dikompromikan, penyerang secara bertahap memperluas akses ke seluruh sistem pengembangan internal sebelum mengunduh kode sumber proyek beberapa hari kemudian.
Penyelidikan mengatakan penyerang kemudian mengunggah plugin Groovy berbahaya ke dalam repositori artefak JFrog protokol, memperoleh eksekusi kode jarak jauh di dalam lingkungan pengiriman perangkat lunak. Menurut AFX, kejadian kehabisan memori berulang di server JFrog awalnya diperlakukan sebagai masalah operasional dengan bantuan dari vendor, memungkinkan plugin berbahaya bertahan dari beberapa restart tanpa memicu respons keamanan.
Analisis forensik kemudian menemukan bahwa penyerang telah mengganti biner sistem dengan versi trojanized, menyuntikkan pustaka bersama berbahaya, dan mencoba menghapus log keamanan sebelum sebagian malware mengalami crash. Log SELinux menangkap lalu lintas command-and-control keluar, eksekusi shell, dan eksekusi kode dalam memori yang menjadi bukti penting selama penyelidikan, menurut laporan tersebut.
Protokol tersebut mengatakan penyerang akhirnya bergeser dari lingkungan pengembangan yang dikompromikan ke infrastruktur operasionalnya menggunakan layanan manajemen berbasis Ansible internal yang sudah memiliki akses istimewa ke node validator. Alih-alih mencuri kredensial baru atau mengeksploitasi layanan eksternal, penyerang menggunakan hubungan kepercayaan yang ada untuk menyebarkan muatan berbahaya di sebagian node validator.
AFX mengatakan node validator yang terinfeksi mengunduh muatan tahap kedua dari server jarak jauh sebelum mengganggu penanganan pesan konsensus. Pada pukul 9:27 malam UTC pada 22 Juli, validator yang terpengaruh turut menandatangani transaksi jembatan yang mentransfer sekitar 24,15 juta USDC dari jembatan kustodian yang dioperasikan AFX.
Protokol tersebut mengatakan penyelidikannya tidak menemukan bukti bahwa jaringan Arbitrum atau jembatan asli Arbitrum telah dikompromikan. Serangan tersebut tetap terbatas pada infrastruktur yang dikelola oleh AFX, sesuai dengan pernyataan yang sebelumnya dikeluarkan oleh Offchain Labs dan Blockaid selama respons awal.
Penyelidik on-chain kemudian melacak USDC yang dicuri setelah berpindah dari Arbitrum ke Ethereum, di mana hasilnya dikonversi menjadi sekitar 12.467 ETH. Pada saat investigasi awal, tidak ada laporan publik yang mengkonfirmasi bahwa sebagian dari aset yang dicuri telah pulih.
Menurut AFX, insiden tersebut menunjukkan bahwa serangan rantai pasokan perangkat lunak dapat melewati keamanan blockchain tanpa mengeksploitasi kontrak pintar secara langsung. Protokol tersebut menyimpulkan bahwa serangan tersebut mengandalkan alat pengembangan tepercaya, sistem penerapan internal, dan infrastruktur validator, bukan kelemahan dalam kode on-chain.
Laporan tersebut mengatakan protokol telah membangun kembali infrastruktur yang terpengaruh, merotasi kredensial operasional, meningkatkan sensitivitas pemantauan, dan memigrasikan sistem produksi ke lingkungan yang lebih terisolasi dengan segmentasi tanpa kepercayaan. Pekerjaan tambahan yang direncanakan selama beberapa bulan mendatang mencakup pemantauan perilaku yang lebih kuat, tinjauan keamanan wajib sebelum memulai ulang layanan produksi, latihan perburuan ancaman yang diperluas, dan pelatihan karyawan terhadap serangan rekayasa sosial.
Berdasarkan bukti forensik, teknik serangan, dan infrastruktur yang diamati selama penyelidikan, AFX mengatakan temuannya konsisten dengan atribusi independen yang menghubungkan insiden tersebut dengan UNC4899, juga dikenal sebagai TraderTraitor, kelompok ancaman yang terkait dengan DPRK yang dilacak oleh Mandiant, Microsoft Threat Intelligence, FBI, dan CISA. Protokol tersebut mengatakan terus bekerja dengan mitra keamanan eksternal untuk melacak aset yang dicuri dan mendukung upaya respons yang berkelanjutan.
Temuan terbaru menambah serangkaian insiden di mana protokol menyimpulkan bahwa penyerang mengkompromikan infrastruktur pendukung alih-alih mengeksploitasi cacat dalam kontrak pintar.
Pada 30 Juli, Ostium mengatakan investigasinya terhadap eksploitasi 23,75 juta USDC terpisah menemukan bahwa akses tidak sah ke infrastruktur off-chain memungkinkan laporan harga BTC-USD yang curang untuk menguras dana dari brankas likuiditasnya, sementara kontrak pintar dan multisig tata kelolanya tetap tidak terkompromikan.
Awal bulan ini, perusahaan pembayaran stablecoin yang berbasis di Singapura, Triple-A, juga mengungkapkan akses tidak sah ke dompet perbendaharaan yang menyimpan aset digital milik perusahaan, meskipun mereka mengatakan dana pelanggan dan operasi pembayaran tidak terpengaruh.
