Exploração de $6M do vault Base expõe uma lacuna de divulgação: Immunefi

Uma exploração de $6 milhões num vault Base não identificado expôs uma lacuna na reportagem de vulnerabilidades, de acordo com o chefe de segurança da Immunefi, com cerca de $31,7 milhões restantes no vault no momento do briefing sobre o incidente.

Resumo

• Cerca de $6 milhões em wstETH foram retirados após um contrato malicioso ter acesso ao vault.
• Sete signatários do Safe permaneceram não identificados, sem resposta pública da equipe mais de 24 horas depois.
• O chefe de segurança da Immunefi disse que endereços aprovados poderiam retirar ativos do vault sem fornecer colateral.
• Magalhães disse que uma recompensa por bugs poderia ter detectado a falha, mas o anonimato complicou a ação dos whitehats.

Gonçalo Magalhães, chefe de segurança da Immunefi, disse ao crypto.news que os operadores não identificados do vault deixaram um pesquisador whitehat com poucas opções para abordar sua fraqueza na lista de permissões sem arriscar problemas legais.

No briefing do incidente que acompanhou seus comentários, a fraqueza havia sido identificada na semana anterior, mas o pesquisador não tinha um canal de divulgação claro. Mais de 24 horas após o ataque, o briefing disse que nenhuma equipe havia reivindicado publicamente o vault, reconhecido a perda ou anunciado remediação.

Permissões do vault Base permitiram retiradas sem colateral

O TokenPost relatou que o atacante usou uma carteira multisignature Safe para adicionar um contrato malicioso à lista de permissões de empréstimo do vault. De acordo com sua conta, o contrato então retirou 1.783 aBaswstETH e resgatou os tokens através do Aave V3 por cerca de 1.783 wstETH.

Sob a avaliação de Magalhães, restringir o acesso a endereços aprovados deu a aparência de proteção porque os atacantes normalmente teriam dificuldades para entrar na lista de permissões. No entanto, uma vez que um endereço recebesse aprovação, o vault permitia que ele retirasse ativos sem fornecer colateral, disse ele. "Mas considerando que qualquer endereço na lista de permissões poderia retirar o aBaswstETH do vault sem necessidade de colateral, isso se torna uma grande vulnerabilidade."

O chefe de segurança descreveu a lista de permissões em si como proteção insuficiente contra essa capacidade de retirada. Sua explicação focou no que um endereço aprovado poderia fazer com os fundos após ganhar acesso, em vez de simplesmente se o acesso estava restrito.

Antes da exploração, o vault havia passado 25 dias sem executar uma transação Safe, de acordo com o TokenPost. A publicação mencionou engenharia social e conluio como possíveis explicações para a mudança de acesso, embora afirmasse que nenhuma delas havia sido estabelecida.

Com sete signatários do Safe ainda não identificados no briefing do incidente, Magalhães pediu às pessoas que controlam a carteira que se identificassem e respondessem. Ele disse que seu silêncio contínuo justificava suspeitas, sem apresentar essa preocupação como prova de envolvimento no roubo.

Um vault não identificado deixou o whitehat sem proteção clara

Para o pesquisador que encontrou a fraqueza, Magalhães disse que a falta de um operador identificado complicou qualquer tentativa de intervir com segurança. > "Considerando que este é um vault não identificado, um whitehat dificilmente pode realizar qualquer ação com garantia de não deixá-los em problemas legais."

Em seus comentários, o problema não se limitou a encontrar uma falha técnica. Magalhães também questionou a propriedade desconhecida do vault e a aprovação que permitiu a um ator de ameaça entrar em sua lista de permissões, dizendo que ambos levantavam suspeitas sobre seus criadores.

Em 21 de setembro, o CEO da Immunefi, Mitchell Amador, abordou a divulgação privada e a autorização após a exploração da Liquid Network. Amador disse que os pesquisadores deveriam relatar fraquezas de forma privada, preferencialmente através de um programa de recompensas definido, em vez de mover fundos de usuários e negociar pagamento depois.

Nesse incidente, atores não identificados devolveram 3.400 BTC, mas retiveram 598,5 BTC, de acordo com o relatório. A Blockstream rejeitou sua reivindicação de divulgação responsável e recusou sua demanda por uma recompensa de 10%.

Amador disse que os protocolos devem estabelecer condições de resgate antes de uma emergência, incluindo as ações que um pesquisador pode tomar e os termos de recompensa. O relatório também descreveu a estrutura Whitehat Safe Harbor da Immunefi como uma forma de definir essas condições com antecedência.

Recompensas por bugs podem detectar falhas que auditorias perdem

Questionado se uma recompensa sozinha teria necessariamente prevenido o ataque à Base, Magalhães disse que a comunidade de segurança provavelmente teria identificado o problema de retirada do contrato através de um programa.

"Uma recompensa por bug poderia definitivamente ter parado este ataque, já que é provável que a comunidade de segurança tivesse encontrado esse problema de flaring no contrato inteligente."

Em um relatório de 10 de agosto sobre os resultados da recompensa por bugs de julho, a Immunefi disse que os pesquisadores receberam $2,32 milhões por vulnerabilidades confirmadas durante o mês. Os relatórios confirmados e pagos aumentaram 18% em relação a junho, enquanto a empresa disse que seus programas impediram 374 ameaças.

O mesmo relatório citou a comparação da Immunefi de 1.178 auditorias realizadas por empresas de nível 1 e 58 auditorias competitivas. De acordo com a empresa, as competições encontraram uma média de 6,2 vulnerabilidades sérias por engajamento, em comparação com 1,5 em auditorias privadas.

Além da lógica do contrato, Magalhães apontou para compromissos de infraestrutura e chaves como evidência de que as verificações de segurança devem cobrir rotas adicionais para os fundos dos usuários.

Em 20 de julho, um relatório sobre riscos de signatários e infraestrutura citou a descoberta da Hacken de que essas falhas representaram 88,3% dos aproximadamente $764 milhões roubados durante o segundo trimestre. Entre 1.427 projetos monitorados, a Hacken descobriu que apenas 4% combinavam auditorias, recompensas ativas por bugs e monitoramento de terceiros.

A Hacken também identificou 14 projetos explorados que haviam concluído auditorias. De acordo com seu relatório, as falhas incluíam dispositivos de signatário, chaves de administrador, validadores de ponte e sistemas de backend fora do código coberto por revisões convencionais.

Processos nos EUA mostram os riscos de retiradas não autorizadas

Nos Estados Unidos, o Departamento de Justiça processou um engenheiro de segurança que explorou exchanges descentralizadas e negociou o retorno de ativos roubados.

Em dezembro de 2023, os promotores federais anunciaram que Shakeeb Ahmed havia se declarado culpado de fraude informática após invadir duas exchanges e obter mais de $12 milhões. De acordo com o departamento, Ahmed concordou em devolver fundos a uma exchange, exceto por $1,5 milhão, se ela não relatasse o ataque às autoridades.

No ataque separado à Nirvana Finance, os promotores disseram que o protocolo ofereceu a Ahmed uma recompensa de até $600.000 para devolver os ativos roubados. Ele exigiu $1,4 milhão em vez disso, não chegou a um acordo e manteve os aproximadamente $3,6 milhões que havia levado, de acordo com o Departamento de Justiça.