چگونه هکر PolyNetwork 600 میلیون دلار سرقت کرد؟ انگشتان دست کارشناسان امنیتی است

بیش از هفت ساعت پس از اولین گزارش ، جزئیات مربوط به بهره برداری که 600 میلیون دلار دارایی دیجیتالی از PolyNetwork به دست آورد ، به کندی آشکار می شود. در غیاب یک حسابرسی جامع ، گروه های امنیت سایبری به برنامه نویسان پشت شبکه سازگاری متقابل زنجیره ای گفته اند: این به عهده شماست.

وجوه مرتبط با این حمله در سه آدرس جداگانه - هر یک در یکی ، دنبال شده است Ethereum, زنجیره هوشمند Binanceو چند ضلعی.

در مورد زنجیره رویدادهایی که منابع مالی نادرست را به دست آورد ، کارشناسان امنیتی نظرات متفاوتی دارند - برخی از آنها تا آنجا که همکاران خود را به گمراه کردن مردم متهم کردند.

بر اساس تجزیه و تحلیل اولیه حسابرس امنیتی مستقر در چین BlockSec ، که هشدار داد هنوز تأیید نشده است ، سرقت می تواند ناشی از "یا نشت کلید خصوصی باشد که برای امضای پیام زنجیره ای استفاده می شود" یا " اشکالی در روند امضای PolyNetwork که برای امضای یک پیام ساخته شده مورد سوء استفاده قرار گرفته است. "

سایر محققان همچنین به ضعف شیوه های امنیتی ضعیف اشاره کرده اند که ممکن است منجر به سرقت کلیدهای خصوصی شود که توسط تیم PolyNetwork برای مجاز کردن معاملات استفاده می شود.

Mudit Gupta ، توسعه دهنده و محقق امنیتی Ethereum نوشت که PolyNetwork از یک کیف پول چند منظوره برای معاملات استفاده می کند. در تنظیمات آن ، چهار نفر به کلید امضای معاملات دسترسی دارند و سه نفر باید امضا کنند: "مهاجم حداقل 3 نگهبان را گرفت و سپس از آنها برای تغییر نگهبانان به یک دروازه بان استفاده کرد." در واقع ، هکر آنها را قفل کرد. (گوپتا در ابتدا تصور می کرد که پلی از 1/1 multisig استفاده می کند.)

تیم امنیتی Blockchain SlowMist می گوید این دقیقاً آن چیزی نیست که اتفاق افتاده است. در عوض ، می گوید ، مهاجم از نقصی در عملکرد قرارداد هوشمند برای تغییر نگهبان خود استفاده کرد و جریان وجوه را به آدرس مهاجم تغییر داد. "اینطور نیست که این رویداد به دلیل نشت کلید خصوصی نگهبان رخ داده باشد ،" آن را گزارش.

PolyNetwork پست وبلاگ را بازتوییت کرد ، در حالی که گوپتا به شدت با SlowMist مخالف بود و یا ناتوانی شدید یا فساد را پیشنهاد می کرد.

صرف نظر از این که مهاجم کلید خصوصی به دست آورده یا از یک قرارداد هوشمند ضعیف سوء استفاده کرده است ، یکی از راه های انجام هر یک از این موارد ، داشتن مسئولیت است. اما آیا این یک کار داخلی بود؟ پس از همه ، طبق تجزیه و تحلیل بلاک چین CipherTrace ، به اصطلاح کشیدن فرش ، نوعی کلاهبرداری خروج ، محبوب ترین شکل کلاهبرداری رمزنگاری شده سال گذشته است. 

هنوز برای گفتن زود است. SlowMist می گوید "از طریق ردیابی درون زنجیره ای و خارج از زنجیره ، صندوق پستی مهاجم ، IP و دستگاه را شناسایی کرده و سرنخ های احتمالی هویت مربوط به مهاجم Poly Network را ردیابی می کند." اما تحقیقات آن هنوز منجر به این نشده است که یک مدیر در Poly اسلحه سیگاری در دست داشته باشد. (یا اگر داشته باشد ، SlowMist هنوز نمی گوید.)

در این میان ، مشخص نیست که آیا مهاجم قادر به استفاده از این وجوه خواهد بود یا خیر. PolyNetwork همچنین از "استخراج کنندگان بلاک چین و مبادلات رمزنگاری شده به نشانه های لیست سیاه" از آدرس های بهره بردار خواسته است. در پاسخ ، تتر گفت که 33 میلیون دلار USDT مرتبط با این حمله را مسدود کرده است ، در حالی که مدیران Binance ، OKEx و Huobi متعهد شده اند که به کاهش خسارت کمک کنند.

با این حال ، هکر این کار را انجام داده است صدور تمسخر از بلاک چین اتریوم ، با پیوست کردن پیام ها به بلوک ها. آنها در یکی می نویسند: "اگر من یک توکن جدید بسازم و اجازه دهم DAO تصمیم بگیرد که TOKEN ها کجا می روند". پیام.

شاید ، اما شاید شخص دیگری باید قراردادهای هوشمند برای آن بنویسد.

منبع: https://decrypt.co/78250/how-did-polynetwork-hacker-steal-600-million-security-experts-point-fingers