Kuinka PolyNetwork -hakkeri varasi 600 miljoonaa dollaria? Turvallisuusasiantuntijat osoittavat sormia

Yli seitsemän tunnin kuluttua sen ensimmäisestä raportoinnista yksityiskohdat hyväksikäytöstä, joka keräsi 600 miljoonaa dollaria digitaalista omaisuutta PolyNetworkista, ovat ilmaantuneet hitaasti. Kattavan tarkastuksen puuttuessa kyberturvallisuusryhmät ovat sanoneet yhteisen kiellon ketjujen välisen yhteensopivuusverkoston takana oleville ohjelmoijille: Tämä on sinun.

Hyökkäykseen liittyvät varat on jäljitetty kolmeen eri osoitteeseen - yksi kullekin Ethereum, Binance Smart -ketjuja Monikulmio.

Turvallisuusasiantuntijoiden mielipiteet tapahtumaketjusta, joka sai väärin varatut varat, ovat eriäviä - jotkut jopa syyttävät kollegoitaan yleisön harhaanjohtamisesta.

Kiinalaisen turvatarkastajan BlockSecin alustavan analyysin mukaan, jota se varoitti, ettei se ollut vielä vahvistanut, varkaus voi olla seurausta "joko ketjun välisen viestin allekirjoittamiseen käytetyn yksityisen avaimen vuotamisesta" tai " virhe PolyNetworkin allekirjoitusprosessissa, jota on käytetty väärin muotoillun viestin allekirjoittamiseen. ”

Muut tutkijat viittasivat myös huonoihin turvallisuuskäytäntöihin, jotka ovat saattaneet johtaa yksityisten avainten varastamiseen, joita PolyNetwork -tiimi käyttää tapahtumien hyväksymiseen.

Ethereumin kehittäjä ja tietoturvatutkija Mudit Gupta kirjoitti että PolyNetwork käyttää tapahtumissaan monisig -lompakkoa. Sen kokoonpanossa neljä henkilöä voi käyttää avainta tapahtumien allekirjoittamiseen, ja kolmen on allekirjoitettava: ”Hyökkääjä otti haltuunsa vähintään 3 vartijaa ja käytti niitä sitten vaihtamaan vartijat yhdeksi vartijaksi.” Itse asiassa hakkeri lukitsi heidät. (Gupta ajatteli aluksi, että Poly käytti 1/1 multisigia.)

Blockchain -tietoturvatiimi SlowMist sanoo, että näin ei tapahtunut. Sen sijaan hyökkääjä hyödynsi älykkään sopimustoiminnon puutetta vaihtaakseen vartijaansa ja reitittämällä varojen virtauksen hyökkääjän omaan osoitteeseen. "Ei ole niin, että tämä tapahtuma tapahtui pitäjän yksityisen avaimen vuotamisen vuoksi", se raportoitu.

PolyNetwork uudelleentwiittasi blogiviestin, kun taas Gupta oli eri mieltä SlowMistin kanssa, mikä viittaa joko törkeään impotenssiin tai korruptioon.

Riippumatta siitä, hankkiiko hyökkääjä yksityiset avaimet tai käyttikö heikkoa älykkää sopimusta, yksi tapa tehdä jompikumpi näistä asioista on olla vastuussa. Mutta oliko se sisäistä työtä? Loppujen lopuksi blockchain-analytiikkayrityksen CipherTrace: n mukaan ns. suosituin salauspetoksen muoto viime vuonna. 

On liian aikaista kertoa. SlowMist sanoo, että se "on tarttunut hyökkääjän postilaatikkoon, IP-osoitteeseen ja laitteen sormenjälkiin ketjun ja ketjun ulkopuolisen seurannan avulla ja seuraa mahdollisia Poly Network -hyökkääjään liittyviä identiteettivihjeitä." Mutta sen tutkimus ei ole vielä johtanut siihen, että Polyn johtaja piti savustuspistoolia. (Tai jos on, SlowMist ei vielä sano.)

Sillä välin on epäselvää, pystyykö hyökkääjä käyttämään varat. PolyNetwork on myös pyytänyt hyväksikäyttäjän osoitteista "louhittujen lohkoketjujen ja salakirjoitusten kaivostyöläisiä mustalle listalle". Vastauksena Tether sanoi jäädyttäneensä 33 miljoonan dollarin USDT: n hyökkäykseen liittyen, kun taas Binancen, OKExin ja Huobin johtajat lupasivat auttaa rajoittamaan vahinkoja.

Hakkeri on kuitenkin ryhtynyt pilkkaamista Ethereum -lohkoketjusta liittämällä viestejä lohkoihin. "MITÄ, JOS TEEN UUDEN TOKENIN JA ANNAN DAOn MÄÄRÄMÄÄN, MIKSI TOKENS MENEVÄT", he kirjoittivat yhdessä viesti.

Ehkä, mutta ehkä jonkun muun pitäisi kirjoittaa siitä älykkäät sopimukset.

Lähde: https://decrypt.co/78250/how-did-polynetwork-hacker-steal-600-million-security-experts-point-fingers