Naməlum şəxsiyyətə malik olan trezor 60 min dollar dəyərində çoxlu imza boşluğuna hücum edilib, 317 min dollar risk altındadır

Təhlükəsizlik tədqiqatçıları bildiriblər ki, kimliyi məlum olmayan bir trezor müqaviləsi... Hücumçu bu trezorun whitelist və çoxsaylı imza ilə nəzarət mexanizmlərindəki boşluqlardan istifadə edərək bu blokçeynin təxminən 6 milyon dollar itirməsinə səbəb olub. Hadisə oktyabrın 4-də aşkar edilib, blokçeyn təhlükəsizlik şirkəti Blockaid qeyri-adi çıxarılma əməliyyatını müəyyənləşdirib. Təxminən 40 dəqiqə ərzində zərər 20,200 dollardan 6 milyon dollara sıçrayıb.

GoPlus, PeckShield, CertiK və Exvul-un məlumatına görə, hücumçu trezordan 1,783.067 aBaswstETH borc alıb və bu tokenləri Aave kwitansiyası ilə dəyişib, təxminən 1,783 wstETH əldə edib. aBaswstETH, Aave Base bazarına təminat olaraq verilən paketlənmiş staking Etherini təmsil edir.

Bu hücum nə Aave əsas borcalma müqaviləsi, nə də Base şəbəkəsindəki boşluqla əlaqəli olub. Araşdırmaçılar müəyyən ediblər ki, oğurluq trezorun çoxsaylı imza ilə idarə edilmə və girişə nəzarət mexanizmindəki çatışmazlıqdan qaynaqlanır. Yeni yaradılmış bir müqavilə Safe çoxsaylı imza əməliyyatı vasitəsilə trezorun borc whitelist-inə əlavə edilib. Ağ siyahıya daxil olduqdan sonra bu müqavilə trezorun Aave mövqeyini borc alıb və əsas aktivləri geri çıxarıb.

Trezorun işçi sahibi Safe Proxy Factory 1.4.1 ilə yaradılmış üç Safe hesabıdır. Bu hesabı yeddi imzalı ünvan idarə edir, lakin onların kimliyi hələ də açıqlanmayıb. Araşdıranlar zəncir üzərində əməliyyatları izləyə bilsələr də, yalnız blokçeyn qeydləri əsasında whitelist yeniləməsinin etimadnamənin oğurlanması, sosial mühəndislik hücumu, daxili təhdid və ya digər idarəetmə səhvləri səbəbindən baş verib-verilmədiyini müəyyən etmək mümkün deyil.

Diqqətəlayiqdir ki, hücumdan əvvəlki 25 gün ərzində trezorun heç bir əməliyyatı olmayıb, lakin hücum zamanı qəfil iki əməliyyat həyata keçirilib. Bu gözlənilməz aktivlik imzalayanların kimliyinin dəyişməsi və ya daxili şəxsin dəyişiklikləri təsdiqləməsi ehtimalını göstərir. Hazırda hansı izahın doğru olduğu barədə heç bir təhlükəsizlik şirkəti açıq təsdiq verməyib.

Tanınmayan sahibliyə və qalan riskə açıq qalmaq

Məlum sahibi olmadığına görə cavab tədbirləri mürəkkəbləşir. Heç bir layihə komandası bu trezorun mövcudluğunu açıq şəkildə qəbul etməyib, nə də icazəsiz whitelist əlavə etmənin necə təsdiqləndiyinə dair bərpa planı və ya açıqlama verməyib. Bu trezor OpenZeppelin şəffaf proxy ilə, ayrıca yeniləmə səlahiyyətləri ilə idarə olunur ki, bu da aktiv sahibləri və son nəzarətçi arasında əlavə bir müqavilə qatını yaradır.

Bildirilir ki, çəkilişdən sonra trezorda hələ də təxminən 317,000 dollar vəsait qalıb. Kimliyi bilinməyən bir onchain istifadəçi daha sonra hücumçuya mesaj göndərərək qalan vəsaiti çıxarmağa və ona "çayevoy" ayırmağa təşviq edib, lakin hələ də ictimai təsdiqlənmiş cavab yoxdur.

Hazırda birbaşa sistematik risklər məhdud görünür, çünki Aave-nin Base yerləşdirilməsi və onun əsas blokçeyni təsirlənməyib. Lakin bu hadisə göstərir ki, imtiyazlı idarəçilik funksiyalarının riski bəzən onların idarə etdikləri smart-müqavilələrin özündən daha böyük ola bilər. Əgər imzalayanların kimliyi, əməliyyatlara baxış proseduru və daxili nəzarət zəifdirsə, yalnız çoxsaylı imza təsdiqi təhlükəsizliyi təmin etmir.

Bu hadisə həmçinin wstETH likvidliyi ilə bağlı narahatlıq yaradıb. Təxminən 1,783 wstETH-in satışa çıxarılması qısa müddətli bazar təzyiqinə səbəb ola bilər, baxmayaraq ki, hazırda bu kwitansiya tokeninin ümumi ancorinqində risk görünmür. Əgər Safe imzalayanları, trezorun idarəedici təşkilatı və ya hücumçu kimliyini açıq şəkildə bəyan edərsə, daha çox detal ortaya çıxa bilər.