Невідомий криптовалютний сховок зазнав атаки через баг із мультипідписом на 60 тисяч доларів, під загрозою 317 тисяч доларів
Дослідники з безпеки повідомили, що невідома скарбниця... Зловмисник скористався вразливістю у механізмі білого списку та контролі мультипідпису, що призвело до втрати блокчейном приблизно 6 мільйонів доларів США. Інцидент було виявлено 4 жовтня, коли компанія Blockaid, що займається безпекою блокчейна, виявила нетипове виведення коштів. Протягом близько 40 хвилин оцінка втрат зросла з 20,2 тисячі доларів до близько 6 мільйонів доларів.
Згідно з даними GoPlus, PeckShield, CertiK та Exvul, зловмисник позичив 1,783.067 aBaswstETH зі скарбниці та обміняв ці токени на розписки Aave, отримавши приблизно 1,783 wstETH. aBaswstETH представляє обгорнуті стейкінг-ефіріуми, надані для ринку Aave Base.
Ця атака не була спричинена багом у основному кредитному контракті Aave чи Base-мережі. Дослідники встановили, що до крадіжки призвів збій у механізмах керування мультипідписом та контролі доступу до скарбниці. Нещодавно створений контракт було додано до білого списку позичальників скарбниці через багатопідписну транзакцію Safe. Потрапивши до білого списку, цей контракт отримав право позичати позиції Aave зі скарбниці та викуповувати основні активи.
Операційними власниками цієї скарбниці є три акаунти Safe, створені за допомогою Safe Proxy Factory 1.4.1. Сім підписних адрес контролюють цей акаунт, але їх особи поки що не розголошені. Дослідники можуть відстежувати транзакції в блокчейні, проте лише за записами ланцюга неможливо визначити, чи оновлення білого списку було викликане крадіжкою облікових даних, соціальними інженерними атаками, внутрішніми загрозами або іншими помилками управління.
Примітно, що протягом 25 днів до атаки зі скарбниці не здійснювалося жодних транзакцій, але під час нападу було раптово виконано дві операції. Така несподівана активність може вказувати на компрометацію підписників або на те, що зміни були схвалені внутрішньою особою. Жодна компанія з безпеки наразі публічно не підтвердила жодного з пояснень.
Безгосподарне володіння і залишковий ризик
Через відсутність відомого власника протидія стала складнішою. Жодна команда проекту публічно не визнала існування цієї скарбниці, не оприлюднила плану усунення наслідків чи пояснення, як було схвалено несанкціоноване додавання до білого списку. Скарбниця використовує прозорий проксі-контракт OpenZeppelin із незалежними правами на оновлення, що додає ще один рівень між власниками активів і кінцевими контролерами.
За повідомленнями, після виведення в скарбниці залишилось близько 317 тисяч доларів. Анонімний користувач on-chain надіслав зловмиснику повідомлення, закликаючи зняти залишки та просив чайові, проте на цей момент підтвердженої публічної відповіді немає.
Судячи з усього, прямий системний ризик наразі обмежений, оскільки розгортання Aave на Base і їх базовий блокчейн не постраждали. Проте цей інцидент підкреслює, що ризик, пов'язаний із привілейованим керуванням, може бути більшим, ніж у самих керованих смарт-контрактів. Якщо особи підписантів, процедури розгляду транзакцій та внутрішній контроль послаблені, лише затвердження мультипідписом не гарантує безпеки.
Інцидент також привернув увагу до ліквідності wstETH. Продаж приблизно 1,783 wstETH може спричинити короткостроковий тиск на ринку, хоча наразі немає ознак ризику для прив’язки цього розписного токена. Якщо підписники Safe, організація, що контролює скарбницю, або сам зловмисник публічно розкриють свою особу, можуть з’явитися додаткові деталі інциденту.
Відмова від відповідальності: зміст цієї статті відображає виключно думку автора і не представляє платформу в будь-якій якості. Ця стаття не повинна бути орієнтиром під час прийняття інвестиційних рішень.
Вас також може зацікавити
Centalion придбав активи природного газу в Гайнсвіллі у Silver Hill
Reuters, 5 жовтня – Centalion Group у понеділок заявила, що придбала у приватної сланцевої компанії Silver Hill Energy Partners, зареєстрованої в Техасі, активи з видобутку та транспортування природного газу в регіоні Хейнсвілл, штат Техас та Луїзіана. Цей трейдер сировинних товарів, раніше відомий як Gunvor, минулого тижня змінив назву на Centalion Group (link) і оголосив про плани перемістити свою штаб-квартиру з Кіпру до Сінгапуру. Представник Centalion Group повідомив, що платформа Хейнсвілл, яка складається з активів Post Oak і Silver Hill, має вартість близько 2.0 billions доларів. У серпні Reuters посилався на джерела, які повідомляли, що Centalion Group (link) веде переговори щодо придбання активів Silver Hill, оцінивши угоду в 1.2–1.5 billions доларів. Чиста поточна видобуток природного газу з активу становить близько 300 млн кубічних футів на добу (MMcfd), а портфель активів охоплює близько 72 000 чистих акрів у районах розробки Хейнсвілл та Боссьєр. "Наша ідея полягає у створенні операційної присутності в цьому басейні, який є вузлом внутрішнього та експортного ринків, щоб скористатися цією можливістю та створити цінність", – додав представник.
Американський фондовий ринок - індекс Nasdaq закрився на історичному максимумі, інвестори зосереджені на корпоративних звітах.
Останні події після закриття торгів: Акції PTC злетіли через пропозицію щодо поглинання компанією Schneider Electric; трейдери вважають, що ймовірність підвищення ставок у жовтні знизилась; наступного тижня банки відкриють сезон звітності. У понеділок індекс Nasdaq закрився на історичному максимумі завдяки зростанню таких компаній, як NVIDIA та Microsoft, у той час як інвестори звертали увагу на зниження цін на нафту і чекали на публікацію квартальних звітів. Це другий день поспіль, коли індекс Nasdaq суттєво зростає, після того як опубліковані в п’ятницю дані по зайнятості виявилися слабшими за очікування, знизивши ймовірність підвищення ставки Федеральною резервною системою на найближчому засіданні. Акції технологічних гігантів NVIDIA (NVDA.O) і Microsoft (MSFT.O) показали зростання; також підвищилися акції Meta Platforms (META.O) та Tesla (TSLA.O). Зниження цін на нафту відбулось на тлі збільшення експорту нафти з Близького Сходу та обіцянки G7 наростити поставки. «Оскільки календар економічних даних на поточний тиждень досить порожній, а до початку сезону звітності залишається біля тижня, інвестори шукають будь-які позитивні сигнали – очевидно, що вони звертають увагу на зниження цін на енергоносії», – прокоментував Арт Гоган, головний стратег B. Riley Wealth. Банківські акції відкриють сезон звітності за третій квартал. Наступного тижня починається період публікації квартальних результатів найбільшими американськими банками. Згідно з даними London Stock Exchange Group (LSEG), аналітики, в середньому, прогнозують понад 30% зростання прибутку компаній зі списку S&P 500 у річному вираженні, в основному завдяки потужному розвитку акцій, пов’язаних зі штучним інтелектом. Згідно з FedWatch від Chicago Mercantile Exchange (CME), після оприлюднення даних про уповільнення темпів зростання зайнятості у США у вересні, ймовірність підвищення ставок Федеральною резервною системою на жовтневому засіданні оцінюється трейдерами в 24%, що суттєво нижче, ніж 70% тиждень тому. Після того, як французька Schneider Electric (SCHN.PA) погодилася купити компанію PTC (PTC.O) за $22.6 мільярда готівкою, акції PTC різко подорожчали. За попередніми підрахунками, S&P 500 (.SPX) піднявся на 51.50 пунктів, або 0.67%, і склав 7,774.22 пункту; Nasdaq Composite (.IXIC) зріс на 289.42 пунктів, або 1.06%, і досяг 27,480.28 пунктів. Dow Jones Industrial Average (.DJI) виріс на 94.59 пунктів, або 0.18%, і склав 51,274.32 пункту. Попередній історичний максимум для індексу Nasdaq був зафіксований 22 вересня. Попри зростання прибутковості облігацій США і підвищення цін на нафту через напруженість між США та Іраном, оптимістичні очікування щодо сильних корпоративних результатів допомагали американським акціям протягом останніх шести місяців перевершувати світові ринки. Експедиторська компанія C.H. Robinson Worldwide (CHRW.O) погодилась купити транспортного брокера RXO (RXO.N) акціями й готівкою за $5.8 мільярда. На тлі цієї новини акції RXO суттєво зросли, а акції C.H. Robinson знизилися. Cerebras Systems (CBRS.O) показала зростання котирувань після того, як CEO OpenAI Сем Альтман заявив у соціальних мережах, що ця чип-дизайнерська компанія є «тісним партнером» з OpenAI, і компанії «інтенсивно співпрацюють над спільним просуванням у галузі швидкодії».
Торгові переговори між США та Індією зайшли у глухий кут, міністр фінансів Індії заявила: «Ми досягли плато», простір для поступок надзвичайно обмежений.
Міністр фінансів Індії Нірмала Сітхараман у понеділок заявила, що переговорний процес є "важким і суворим", і наразі обидві сторони досягли "платформного етапу", коли "надалі давати чи вимагати щось може бути надзвичайно складно". Водночас вона залишила можливість для подальших дій, зазначивши: "Якщо залишиться простір для маневру, обидві сторони ним скористаються". Минулої п’ятниці представник з торгових питань США Jamieson Greer повідомив, що переговори знаходяться на "останній стадії", але досягнення остаточної угоди "ще не на часі".
Індекс Puell Multiple перевищив 1.00, що свідчить про завершення фази накопичення
Ціни на криптовалюти
Більше
