Eksploatacja vaultu Base na 6 milionów dolarów ujawnia lukę w ujawnianiu: Immunefi

Eksploatacja vaultu Base na 6 milionów dolarów, którego tożsamość nie została ujawniona, ujawniła lukę w raportowaniu podatności, według szefa bezpieczeństwa Immunefi, z około 31,7 miliona dolarów pozostałymi w vaultcie w momencie briefingu dotyczącego incydentu.

Podsumowanie

• Około 6 milionów dolarów w wstETH zostało skradzionych po tym, jak złośliwy kontrakt uzyskał dostęp do vaultu.
• Siedmiu sygnatariuszy Safe pozostaje nieznanych, a publiczna odpowiedź zespołu nie pojawiła się więcej niż 24 godziny później.
• Szef bezpieczeństwa Immunefi powiedział, że zatwierdzone adresy mogły zabrać aktywa vaultu bez konieczności wnoszenia zabezpieczenia.
• Gonçalo Magalhães powiedział, że nagroda za błąd mogłaby wykryć tę lukę, ale anonimowość skomplikowała działania białych kapeluszy.

Gonçalo Magalhães, szef bezpieczeństwa w Immunefi, powiedział crypto.news, że nieznani operatorzy vaultu pozostawili badacza białych kapeluszy z niewieloma opcjami na rozwiązanie słabości jego białej listy bez ryzykowania problemów prawnych.

W briefingu dotyczącym incydentu to słabość została zidentyfikowana w poprzednim tygodniu, ale badacz nie miał jasnego kanału ujawnienia. Ponad 24 godziny po ataku, w briefingu stwierdzono, że żaden zespół publicznie nie zgłosił vaultu, nie uznał straty ani nie ogłosił działań naprawczych.

Uprawnienia vaultu Base pozwalały na wypłaty bez zabezpieczenia

TokenPost doniósł, że napastnik użył portfela multisignature Safe, aby dodać złośliwy kontrakt do białej listy pożyczek vaultu. Według jego relacji, kontrakt następnie wypłacił 1 783 aBaswstETH i wymienił tokeny przez Aave V3 na około 1 783 wstETH.

Według oceny Magalhãesa, ograniczenie dostępu do zatwierdzonych adresów dawało wrażenie ochrony, ponieważ napastnicy zazwyczaj mieli trudności z wejściem na białą listę. Jednak gdy adres uzyskał zatwierdzenie, vault pozwalał mu na zabranie aktywów bez wnoszenia zabezpieczenia, powiedział. "Ale biorąc pod uwagę, że każdy adres z białej listy mógł zabrać aBaswstETH vaultu bez potrzeby zabezpieczenia, staje się to poważną luką."

Szef bezpieczeństwa opisał samą białą listę jako niewystarczającą ochronę przed tą zdolnością do wypłat. Jego wyjaśnienie koncentrowało się na tym, co zatwierdzony adres mógł zrobić z funduszami po uzyskaniu dostępu, a nie tylko na tym, czy dostęp był ograniczony.

Przed eksploatacją vault przeszedł 25 dni bez wykonania transakcji Safe, według TokenPost. Publikacja wspomniała o inżynierii społecznej i zmowie jako możliwych wyjaśnieniach zmiany dostępu, jednocześnie stwierdzając, że żadna z tych hipotez nie została potwierdzona.

Z siedmioma sygnatariuszami Safe nadal nieznanymi w briefingu incydentu, Magalhães wezwał osoby kontrolujące portfel do ujawnienia się i odpowiedzi. Powiedział, że ich dalsza cisza budzi podejrzenia, nie przedstawiając tego zmartwienia jako dowodu na udział w kradzieży.

Nieznany vault pozostawił białego kapelusza bez jasnej ochrony

Dla badacza, który znalazł tę słabość, Magalhães powiedział, że brak zidentyfikowanego operatora skomplikował wszelkie próby interwencji w sposób bezpieczny.

"Biorąc pod uwagę, że jest to nieznany vault, białe kapelusze ledwo mogą podjąć jakiekolwiek działania z gwarancją, że nie zostawią ich w kłopotach prawnych."

W swoich komentarzach problem nie ograniczał się tylko do znalezienia technicznej luki. Magalhães również zakwestionował nieznane właścicielstwo vaultu oraz zatwierdzenie, które pozwoliło aktorowi zagrożenia na jego białą listę, mówiąc, że obie kwestie budzą podejrzenia co do jego twórców.

21 września, CEO Immunefi Mitchell Amador poruszył temat prywatnego ujawnienia i autoryzacji po eksploatacji Liquid Network. Amador powiedział, że badacze powinni zgłaszać słabości prywatnie, najlepiej za pośrednictwem zdefiniowanego programu nagród, zamiast przenosić fundusze użytkowników i negocjować płatność później.

W tym incydencie nieznani aktorzy zwrócili 3 400 BTC, ale zatrzymali 598,5 BTC, według raportu. Blockstream odrzucił ich roszczenie o odpowiedzialne ujawnienie i odmówił ich żądaniu 10% nagrody.

Amador powiedział, że protokoły powinny ustalać warunki ratunkowe przed sytuacją awaryjną, w tym działania, jakie może podjąć badacz oraz warunki nagrody. Raport opisał również ramy Immunefi Whitehat Safe Harbor jako sposób na wcześniejsze ustalenie tych warunków.

Nagrody za błędy mogą wychwycić luki, które umykają audytom

Zapytany, czy sama nagroda mogłaby zapobiec atakowi na Base, Magalhães powiedział, że społeczność zajmująca się bezpieczeństwem prawdopodobnie zidentyfikowałaby problem z wypłatą kontraktu poprzez program.

"Nagroda za błąd zdecydowanie mogłaby zatrzymać ten atak, ponieważ prawdopodobnie społeczność zajmująca się bezpieczeństwem znalazłaby ten problem z błyskiem w inteligentnym kontrakcie."

W raporcie z 10 sierpnia na temat wyników nagród za błędy z lipca, Immunefi poinformowało, że badacze otrzymali 2,32 miliona dolarów za potwierdzone luki w ciągu miesiąca. Potwierdzone i opłacone raporty wzrosły o 18% w porównaniu do czerwca, podczas gdy firma powiedziała, że jej programy zapobiegły 374 zagrożeniom.

Ten sam raport cytował porównanie Immunefi 1 178 audytów przeprowadzonych przez firmy pierwszej klasy oraz 58 audytów konkurencyjnych. Według firmy, konkursy wykazały średnio 6,2 poważnych luk na każde zlecenie, w porównaniu do 1,5 w audytach prywatnych.

Poza logiką kontraktu, Magalhães wskazał na infrastrukturę i kompromisy kluczy jako dowód, że kontrole bezpieczeństwa muszą obejmować dodatkowe drogi dostępu do funduszy użytkowników.

20 lipca raport na temat ryzyk związanych z sygnatariuszami i infrastrukturą cytował odkrycie Hacken, że te awarie stanowiły 88,3% z około 764 milionów dolarów skradzionych w drugim kwartale. Spośród 1 427 śledzonych projektów, Hacken stwierdził, że tylko 4% łączyło audyty, aktywne nagrody za błędy i monitoring zewnętrzny.

Hacken zidentyfikował również 14 projektów, które zostały wykorzystane, a które miały zakończone audyty. Według jego raportu, awarie obejmowały urządzenia sygnujące, klucze administratora, walidatory mostów oraz systemy backendowe poza kodem objętym konwencjonalnymi przeglądami.

Prokuracje w USA pokazują stawkę nieautoryzowanych wypłat

W Stanach Zjednoczonych Departament Sprawiedliwości oskarżył inżyniera bezpieczeństwa, który wykorzystał zdecentralizowane giełdy i negocjował zwrot skradzionych aktywów.

W grudniu 2023 roku prokuratorzy federalni ogłosili, że Shakeeb Ahmed przyznał się do winy w sprawie oszustwa komputerowego po zhakowaniu dwóch giełd i uzyskaniu ponad 12 milionów dolarów. Według departamentu, Ahmed zgodził się zwrócić fundusze jednej giełdzie z wyjątkiem 1,5 miliona dolarów, jeśli nie zgłosi ataku organom ścigania.

W osobnym ataku na Nirvana Finance prokuratorzy powiedzieli, że protokół zaoferował Ahmedowi nagrodę w wysokości do 600 000 dolarów za zwrot skradzionych aktywów. On zamiast tego zażądał 1,4 miliona dolarów, nie osiągnął żadnej umowy i zatrzymał około 3,6 miliona dolarów, które zabrał, według Departamentu Sprawiedliwości.