Humanity Protocol potvrdil, že kompromitovaný laptop zaměstnance umožnil útočníkům převzít kontrolu nad mostem, upgradovat smlouvy a odcizit přes 36 milionů dolarů v H tokenech. Incident zasáhl tokeny H na Ethereum i BNB Chain, uvedl tým ve své aktualizaci.
Podle Humanity byly kompromitovány tři z šesti vlastnických klíčů Gnosis Safe, což útočníkům umožnilo ovládnout administraci mostu na obou sítích. Jakmile získali přístup, upravili mostní kontrakty na škodlivé verze. Na Ethereu odčerpal útočník přibližně 141,2 milionu tokenů. Na BSC přidal funkci pro nekonečné vytváření tokenů a vytiskl 200 milionů tokenů přímo na svůj peněženku.
Zakladatel Humanity Terence Kwok pro Cointelegraph řekl, že projekt má multisignaturní kontroly rozložené mezi čtyři osoby, přesto některé klíče mohly být odhaleny při počátečním nastavení. „Věříme, že některé klíče byly omylem zálohovány na kompromitované zařízení,“ uvedl Kwok.
Kwok dále uvedl, že pro většinu tokenového treasuru používají licencovaného kustoda a pro provozní treasury MPC. U určitých smluv ale prý byly multisig klíče nastaveny na jednom místě a až poté rozdistribuovány, přičemž některé zálohy zůstaly na kompromitovaném zařízení.
Incident ukázal, jak může kompromitovaný endpoint eskalovat na krizovou situaci na úrovni protokolu, pokud jsou rozhodovací práva konsolidovaná v malém počtu klíčů. Humanity pozastavil vklady i výběry na postižených mostech a spolupracuje s burzami a dalšími zúčastněnými stranami na minimalizaci škod a možnostech nápravy.
Cena H tokenu po zveřejnění kompromitace soukromých klíčů klesla podle projektu o více než 85 procent. Kwok v té době už varoval uživatele, aby s mostem a likviditními pooly neinteragovali.
Zdroj: https://cointelegraph.com/news/humanity-protocol-laptop-bridge-exploit-h-token?utm_source=rss_feed&utm_medium=rss&utm_campaign=rss_partner_inbound
Bezpečnostní firmy zkoumají vzorec exploitace
Případ přilákal pozornost blockchainových vyšetřovatelů, kteří zkoumají, zda šlo o čistě vnější kompromitaci, nebo zda souvisela s neobvyklou aktivitou tokenu před nadcházejícím unlockem, jak na to poukázali někteří členové komunity.
Vyšetřovatel ZachXBT nejprve zpochybnil, zda aktivity tvůrců trhu a OTC obchody nebyly propojené s exploitací. Po další analýze ale uvedl, že market-maker a OTC činnost se zdají být na kompromitaci soukromých klíčů nezávislé.
Hakan Unal, vedoucí bezpečnostních operací ve firmě Cyvers, řekl, že onchain vzorec může na první pohled vypadat stejné, ať už jde o skutečné prolomení, nebo inscenovaný útok, protože v obou případech útočník disponuje legitimními administrátorskými právy. „Co je odlišuje, je okolní chování,“ vysvětlil Unal. Skutečné prolomení podle něj obvykle provází rychlost a improvizace: prostředky rychle putují na čerstvé peněženky, provádějí se nevýhodné swapy, používají se mixéry a chybí synchronizované načasování.
Naopak inscenovaný incident může vykazovat podezřelé načasování kolem unlocků nebo vestingu, koncentrovanou zásobu, systematický přesun prostředků nebo toky, které se nakonec vracejí k adresám spojeným s týmem či market makery. Unal poznamenal, že důkazy jsou zatím smíšené, proto otázka zůstává otevřená.
Výzkumník podezřívá koordinovanou operaci
Vedoucí výzkumu Allium Labs Elton Shehdula uvedl, že onchain vzorec nasvědčoval plánované a koordinované akci spíše než jednorázovému oportunistovi. Podle jeho analýzy byly peněženky financovány z burzy a z mixéru týdny před útokem, autorita pro mintování byla „nahřána“ dny předem a dump proběhl zároveň na dvou řetězcích.
Shehdula dodal, že úroveň příprav a přístupu byla konzistentní s tím, že buď šlo o insidera, nebo o externího aktéra, který tichounce držel kompromitovaný klíč delší dobu.
O dalším vývoji vyšetřování a možnostech navrácení prostředků budou zúčastněné strany informovat, jakmile budou dostupné nové informace. Původní zpráva a aktualizace jsou k nalezení na odkazu výše.