Зловмисник вивів близько $72 000 у токенах STRONG та STRNGR, отримавши контроль над занедбаною ончейн-системою управління StrongBlock за допомогою шкідливої пропозиції.
За даними блокчейн-безпекової фірми Defimon Alerts, зловмисник здобув достатню кількість голосів у системі управління StrongBlock, щоб прийняти пропозицію, яка зрештою передала адміністративний контроль над контрактом Governor протоколу до того, як кошти були виведені.
Замість того, щоб використовувати недолік у смарт-контрактах StrongBlock, зловмисник використав власний процес управління протоколу для отримання привілейованого доступу. Отримавши права адміністратора, зловмисник оновив проксі Governor до нової реалізації, яка дозволяла довільні виклики контрактів, використовуючи повноваження Governor.
Цей інцидент доповнює серію нещодавніх крипто-безпекових подій, які були спрямовані на системи управління, допоміжну інфраструктуру та програмне забезпечення гаманців через різні вектори атаки, а не лише на помилки смарт-контрактів.
Перед початком атаки зловмисник накопичив більшість токенів управління STRONG протоколу, які, як описала Defimon Alerts, стали майже нічого не вартими після того, як проєкт був занедбаний.
Маючи достатню кількість голосів, зловмисник подав пропозицію управління, яка доручала контракту Governor’s Upgrader виконати setPendingAdmin(attacker), зробивши адресу зловмисника тимчасовим адміністратором.
Замість обходу системи управління, пропозиція пройшла всі необхідні етапи. Вона отримала достатньо голосів, потрапила до черги та була виконана відповідно до нормального процесу управління протоколу, зрештою передавши адміністративний контроль над проксі Governor зловмиснику.
Адміністративні привілеї дозволили зловмиснику замінити реалізацію Governor на мінімальний, неперевірений контракт, що містив функцію forward(address, bytes).
За даними Defimon Alerts, функція була обмежена зовнішнім обліковим записом зловмисника і фактично слугувала механізмом довільного виклику, дозволяючи зловмиснику виконувати транзакції з повноваженнями Governor через контракти StrongBlock.
Перекази токенів відбулися у наступній транзакції.
Використовуючи оновлену реалізацію, зловмисник виконав транзакції, які переказали активи з пулу протоколу, замість використання помилки в логіці контракту протоколу.
Defimon Alerts повідомила, що зловмисник вилучив 32 695 токенів STRONG разом із 383 447 STRNGR, довівши орієнтовну вартість викрадених активів до приблизно $72 000.
Безпекова фірма охарактеризувала інцидент як захоплення управління, оскільки кожна критична дія, включаючи зміну адміністратора та оновлення контракту, відбувалася через дозволи управління, а не через вразливість програмного забезпечення.
Замінивши реалізацію Governor перед переміщенням коштів, зловмисник перетворив сам контракт управління на механізм, що використовувався для авторизації переказів.
Нещодавні інциденти безпеки показали, що зловмисники все частіше націлюються на різні частини криптоінфраструктури.
Наприкінці минулого місяця децентралізований протокол безстрокових ф’ючерсів Ostium дійшов висновку, що зловмисники викрали 23,75 мільйона USDC, отримавши несанкціонований доступ до його офчейн-інфраструктури, замість використання вразливостей у його смарт-контрактах.
Згідно з аналізом після інциденту від Ostium, шахрайські звіти про ціни BTC-USD, подані через довірену інфраструктуру, дозволили зловмиснику генерувати штучні торгові прибутки, які були розраховані проти публічного сховища ліквідності OLP протоколу. Раніший аналіз від блокчейн-безпекової фірми Blockaid аналогічно дійшов висновку, що маніпульовані звіти оракулів, а не недоліки в коді контракту, уможливили експлойт.
Окремо, інцидент з гаманцем Coldcard виник через проблему прошивки, введену під час оновлення програмного забезпечення в березні 2021 року. Інженерні та безпекові команди Bitcoin компаній Coinkite та Block дійшли висновку, що уражена прошивка генерувала початкові фрази гаманців за допомогою детермінованого псевдовипадкового генератора замість призначеного апаратного генератора випадкових чисел, що зменшило ентропію, яка використовувалася для створення приватних ключів.
Galaxy Research підтвердила крадіжки на загальну суму 1 596 BTC з приблизно 7 300 адрес, пов'язаних з трьома хвилями атак. Дослідницька фірма також виявила підозрювану четверту скоординовану хвилю, що включає ще 448,7 BTC, хоча вона ще не включила ці адреси до своєї підтвердженої загальної суми, оскільки очікується додаткове підтвердження постраждалих.
Інцидент з Coldcard спонукав розробників переглянути значно більшу частину програмної екосистеми Bitcoin.
Раніше цього тижня розробник Bitcoin Калле заявив, що волонтерська команда Bitcoin Red Team завершила перевірки за допомогою штучного інтелекту та вручну у 390 репозиторіях, пов'язаних з Bitcoin, виявивши 4 962 потенційні проблеми безпеки, включаючи 720, класифікованих як висока або критична серйозність.
За словами Калле, близько 21,4% виявлених проблем вже були відтворені шляхом ручної перевірки, перш ніж їх було приватно розкрито постраждалим розробникам.
Кампанія перевірки охоплює гаманці Bitcoin, криптографічні бібліотеки, інфраструктурне програмне забезпечення та інші проєкти з відкритим вихідним кодом. Калле заявив, що OpenSats фінансує близько $10 000 на день на обчислювальні витрати, тоді як Kimi Moonshot надала облікові записи ШІ та доступ до своєї моделі Kimi K3 для підтримки цих зусиль.
На відміну від експлойту Ostium або інциденту з гаманцем Coldcard, атака на StrongBlock не покладалася на скомпрометовану інфраструктуру, маніпуляції оракулом або криптографічні слабкості.
Натомість, зловмисник спочатку отримав контроль над управлінням, перш ніж модифікувати власний адміністративний контракт протоколу.
За даними Defimon Alerts, оновлення проксі Governor до реалізації, що містить обмежену функцію forward(address, bytes), надало гаманцю зловмисника виключні повноваження для виконання довільних викликів через контракт Governor.
Викрадені активи були потім переведені за допомогою дозволів, які сам протокол надав після завершення пропозиції управління, що ілюструє, як занедбані системи управління можуть продовжувати здійснювати адміністративний контроль над контрактами протоколу навіть після того, як діяльність з розробки значною мірою припинилася.
