Ошибка трехлетней давности привела к утечке в 1,3 миллиона долларов и остановила блокчейн на 10 дней

Обычная переработка кода Radix создала уязвимость в хранилище, что позволило украсть около 1,3 миллиона долларов и позже заставило валидаторов остановить блокчейн.

Фонд Radix сообщил 17 сентября, что команда разработчиков RDX Works внесла дефект во время очистки Radix Engine в июне 2023 года, программного слоя, который выполняет транзакции и обеспечивает право собственности на активы в сети. Уязвимость оставалась незамеченной более трех лет, прежде чем злоумышленник воспользовался ею 31 августа.

Реконструкция бухгалтерской книги сообщества показывает, что злоумышленник вывел около 458 915 USDC, 72 420 USDT, 61,08 ETH, 6,35 обернутого Bitcoin, 536,16 SOL и 32,91 BNB в 26 транзакциях. Активы стоили около 1,26 миллиона долларов по рыночным ценам на 31 августа, а злоумышленники также забрали еще 13 000 XRD из хранилища для оплаты транзакционных сборов. Две стейблкоины составили около 531 335 долларов.

Украденные активы были отправлены через Hyperlane в Ethereum, BNB Chain и Solana, а затем проданы за ETH, сообщил Radix. Сам Hyperlane работал как задумано: злоумышленник уже получил активы через Radix Engine, прежде чем использовать мост для перемещения их в другое место. Никакие приватные ключи не были скомпрометированы.

Тем не менее, немедленная потеря недооценивала потенциальную уязвимость. Расследователи Radix пришли к выводу, что уязвимость могла быть использована против любого хранилища в сети, ставя под угрозу токены и другие активы, находящиеся за пределами целевых средств, которые злоумышленник использовал.

В результате валидаторы сети намеренно отключили достаточно долей, чтобы предотвратить достижение консенсуса и остановить дополнительные транзакции, пока разработчики работали над исправлением.

Пропуск аудита Radix превращает ошибку в системный сбой

Уязвимость уже пережила независимый обзор безопасности до того, как ее обнаружил злоумышленник.

Zellic провела аудит протокола Radix в 2024 году, включая ядро движка, содержащее дефект. Обзор не обнаружил уязвимость авторизации, хотя уязвимый код был введен во время переработки в предыдущем году.

Ошибка изменила способ, которым движок обрабатывал ссылки на хранилища. Транзакция могла идентифицировать хранилище другого пользователя по его внутреннему адресу и передать эту ссылку в специально разработанный код смарт-контракта. Затем движок позволял вызывать обычные функции вывода без надлежащего соблюдения границы собственности, которая должна была отклонить запрос.

Это дало злоумышленнику доступ к активам, хранящимся на счетах пользователей, в приложениях и ликвидных пулах, не получая подписи владельцев.

Фонд сообщил, что злоумышленник завершил 26 транзакций эксплуатации между 16:02 и 16:57 UTC 31 августа. Как только расследователи определили, что уязвимость существовала на уровне выполнения, а не в одном приложении, валидаторы скоординировались, чтобы остановить окончательную обработку транзакций.

Остановка длилась более 10 дней. Исправление протокола добавило проверки, предотвращающие использование ограниченной ссылки на хранилище для обычного вывода, и транзакции пользователей возобновились 11 сентября, согласно реконструкции бухгалтерской книги сообщества.

Инцидент также привел к вторичным потерям в ликвидных пулах после того, как злоумышленник убрал мостовые активы с одной стороны торговых пар. Искаженные цены позволили другой учетной записи извлечь миллионы XRD из затронутых пулов, показывая, как сбой на уровне выполнения может продолжать причинять экономический ущерб даже после того, как первоначальные активы покинули сеть.

Radix заявила, что добавляет регрессионные тесты, усиливает процесс проверки безопасности и формализует экстренную процедуру, которую валидаторы использовали для прерывания жизнеспособности сети.

Фонд также заявил, что будущая работа по безопасности должна учитывать все более мощные инструменты анализа кода с поддержкой ИИ, которые, по его мнению, могли помочь злоумышленнику выявить многолетний дефект.

Для разработчиков и валидаторов следующей задачей является предотвращение аналогичных рутинных работ по обслуживанию, которые могут незаметно изменить предположения о безопасности, которые могут быть упущены во внешних аудитах.

Эта задача выходит за рамки исправления эксплуатируемого кода. Radix теперь необходимо укрепить процесс проверки изменений в логике авторизации, восстанавливая доверие среди пользователей и поставщиков ликвидности, чьи активы в конечном итоге зависят от правильного соблюдения этих границ движком.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.