AFX оголосила, що підготувала план добросовісної компенсації для користувачів, які постраждали від експлойту моста на $24,15 мільйона минулого тижня, з пропозицією щодо відшкодування, запланованою до випуску 3 серпня.
Згідно з оголошенням AFX, децентралізований протокол деривативів завершує розробку плану добросовісної компенсації після інциденту безпеки 22 липня та опублікує деталі в понеділок, 3 серпня. Команда повідомила, що інвестори, співробітники та ранні прихильники постраждали від атаки та попросила спільноту зберігати терпіння, поки вона завершує остаточну пропозицію.
Оновлення з’явилося після того, як AFX завершила технічне розслідування експлойту, який призвів до крадіжки близько 24,15 мільйона USDC з кастодіального моста, що управляється AFX. Протокол ще не розголошував, як буде структуровано компенсацію чи відшкодування, але заявив, що його наступне оголошення буде зосереджено на плані добросовісної компенсації.
Попередні публічні заяви підтвердили, що експлойт був націлений на інфраструктуру, керовану AFX, а не на нативний міст Arbitrum. Тоді блокчейн-безпекова компанія Blockaid та команда Arbitrum розслідували інцидент, тоді як співзасновник Offchain Labs Стівен Голдфедер заявив, що підозріла транзакція походить від стороннього протоколу, а не від основного моста Arbitrum.
У детальному звіті після інциденту AFX зазначила, що витік даних виник внаслідок кампанії соціальної інженерії проти одного з її розробників, а не внаслідок вразливості в її смарт-контрактах або блокчейн-інфраструктурі. Згідно з протоколом, зловмисник 9 липня видавав себе за рекрутера компанії Oddium Lab і переконав розробника клонувати те, що здавалося легітимним репозиторієм програмного забезпечення.
AFX повідомила, що репозиторій містив зловмисну конфігурацію Git, яка виконувала приховане корисне навантаження під час рутинного робочого процесу Git, надаючи зловмиснику початковий доступ до робочої станції розробника. Використовуючи скомпрометований пристрій, зловмисник поступово розширював доступ до внутрішніх систем розробки, перш ніж завантажити вихідний код проекту через кілька днів.
Розслідування показало, що зловмисник пізніше завантажив зловмисний плагін Groovy до репозиторію артефактів JFrog протоколу, отримавши віддалене виконання коду в середовищі доставки програмного забезпечення. За даними AFX, багаторазові події нестачі пам'яті на сервері JFrog спочатку розглядалися як експлуатаційні проблеми за допомогою постачальника, що дозволило зловмисному плагіну вижити після кількох перезапусків, не викликаючи реакції безпеки.
Судово-медичний аналіз пізніше виявив, що зловмисник замінив системні бінарні файли троянізованими версіями, впровадив зловмисні спільні бібліотеки та намагався стерти журнали безпеки до того, як частини шкідливого програмного забезпечення вийшли з ладу. Журнали SELinux зафіксували вихідний командно-контрольний трафік, виконання команд оболонки та виконання коду в пам'яті, що стало важливим доказом під час розслідування, згідно зі звітом.
Протокол повідомив, що зловмисник зрештою перейшов від скомпрометованого середовища розробки до своєї операційної інфраструктури, використовуючи внутрішній сервіс управління на базі Ansible, який вже мав привілейований доступ до вузлів валідаторів. Замість крадіжки нових облікових даних або експлуатації зовнішньої служби, зловмисник використав існуючі довірчі відносини для розгортання зловмисних корисних навантажень на підмножині валідаторів.
AFX заявила, що інфіковані вузли валідаторів завантажили корисне навантаження другого етапу з віддаленого сервера, перш ніж втручатися в обробку консенсусних повідомлень. О 21:27 за UTC 22 липня постраждалі валідатори спільно підписали транзакцію моста, яка перевела приблизно 24,15 мільйона USDC з кастодіального моста, що управляється AFX.
Протокол повідомив, що його розслідування не виявило доказів компрометації мережі Arbitrum або нативного моста Arbitrum. Атака залишалася обмеженою інфраструктурою, керованою AFX, що відповідає заявам, раніше зробленим Offchain Labs та Blockaid під час початкової реакції.
Пізніше ончейн-дослідники відстежили викрадені USDC після їх переміщення з Arbitrum до Ethereum, де виручені кошти були конвертовані приблизно в 12 467 ETH. На момент початкового розслідування жодні публічні звіти не підтверджували, що будь-яка частина викрадених активів була відшкодована.
За даними AFX, інцидент продемонстрував, що атаки на ланцюг постачання програмного забезпечення можуть обійти безпеку блокчейну без прямої експлуатації смарт-контрактів. Протокол дійшов висновку, що атака покладалася на довірені інструменти розробки, внутрішні системи розгортання та інфраструктуру валідаторів замість слабких місць в ончейн-коді.
У звіті зазначено, що протокол відновив пошкоджену інфраструктуру, змінив операційні облікові дані, підвищив чутливість моніторингу та перемістив виробничі системи в більш ізольоване середовище з сегментацією за принципом нульової довіри. Додаткові роботи, заплановані на найближчі місяці, включають посилений поведінковий моніторинг, обов'язкові перевірки безпеки перед перезапуском виробничих служб, розширені вправи з пошуку загроз та навчання співробітників проти атак соціальної інженерії.
На основі судово-медичних доказів, методів атаки та інфраструктури, виявлених під час розслідування, AFX заявила, що її висновки узгоджуються з незалежним приписуванням, що пов'язує інцидент з UNC4899, також відомою як TraderTraitor, групою загроз, пов'язаною з КНДР, за якою стежать Mandiant, Microsoft Threat Intelligence, ФБР та CISA. Протокол повідомив, що продовжує співпрацювати із зовнішніми партнерами з безпеки для відстеження викрадених активів та підтримки поточних зусиль щодо реагування.
Останні висновки доповнюють серію інцидентів, у яких протоколи дійшли висновку, що зловмисники скомпрометували допоміжну інфраструктуру замість експлуатації недоліків у смарт-контрактах.
30 липня Ostium повідомив, що його розслідування окремого експлойту на 23,75 мільйона USDC виявило, що несанкціонований доступ до офчейн-інфраструктури дозволив шахрайським звітам про ціну BTC-USD вивести кошти з його сховища ліквідності, тоді як його смарт-контракти та мультисиги управління залишилися незайманими.
Раніше цього місяця сінгапурська фірма з платежів у стейблкоїнах Triple-A також розкрила несанкціонований доступ до казначейських гаманців, що містять цифрові активи, які належать компанії, хоча й зазначила, що кошти клієнтів та платіжні операції не постраждали.
ETH
USDC
