Kļūda, kas nojauca Wintermute, joprojām ir liela

Blockchain drošības infrastruktūras uzņēmums BlockSec apstiprināja par čivināt ka decentralizētā apmaiņas apkopotāja ParaSwap izvietotāja adrese bija neaizsargāta pret to, kas ir kļuvis pazīstams kā rupjības ievainojamība.

ParaSwap bija pirmais brīdināts ievainojamību agrā otrdienas rītā pēc tam, kad Web3 ekosistēmas drošības komanda Supremacy Inc. uzzināja, ka izvietotāja adrese ir saistīta ar vairākiem vairāku parakstu makiem.

rupjības kādreiz bija viens no populārākajiem rīkiem, ko izmantoja maka adrešu ģenerēšanai, taču projekts tika pārtraukts būtiski drošības trūkumi. 

Pavisam nesen globālais kriptovalūtu tirgus veidotājs Wintermute atkāpās $ 160 miljoni aizdomīgas rupjības kļūdas dēļ.

Supremacy Inc. izstrādātājs Zaks, kurš nenosauca savu uzvārdu, pastāstīja Blockworks, ka Profanity ģenerētās adreses ir neaizsargātas pret uzlaušanu, jo privāto atslēgu ģenerēšanai tiek izmantoti vāji nejauši skaitļi.

"Ja šīs adreses iniciē darījumus ķēdē, izmantotāji var atgūt savas publiskās atslēgas, veicot darījumus, un pēc tam iegūt privātās atslēgas, nepārtraukti virzot atpakaļ sadursmes ar publiskajām atslēgām," otrdien ar Telegram starpniecību sacīja Zaks.

"Šai problēmai ir viens un tikai viens risinājums, proti, aktīvu pārnešana un maka adreses maiņa nekavējoties," viņš teica.

Pēc incidenta izpētes ParaSwap sacīja, ka ievainojamība nav atrasta, un noliedza, ka Profanity ir radījis savu izplatītāju.

Lai gan ir taisnība, ka Profanity neizveidoja izvietotāju, BlockSec līdzdibinātājs Endijs Džou pastāstīja Blockworks, ka rīks, kas ģenerēja ParaSwap viedo līgumu, joprojām ir pakļauts Profanity ievainojamības riskam.

"Viņi neapzinājās, ka adreses ģenerēšanai izmantoja neaizsargātu rīku," sacīja Džou. "Rīkam nebija pietiekami daudz nejaušības, kas ļāva uzlauzt privātās atslēgas adresi."

Zināšanas par ievainojamību arī ir palīdzējušas BlockSec atgūt līdzekļus. Tas attiecās uz DeFi protokoliem BabySwap un TransitSwap, kuri abi tika uzbrukti 1. oktobrī.

"Mēs varējām atgūt līdzekļus un atgriezt tos protokolos," sacīja Džou.

Pēc tam, kad BlockSec izstrādātāji pamanīja, ka dažus uzbrukuma darījumus vadīja robots, kas ir jutīgs pret profanity ievainojamību, BlockSec izstrādātāji varēja efektīvi nozagt zagļus.

Neskatoties uz tās popularitāti kā efektīvu adrešu ģenerēšanas rīku, Profanity izstrādātājs brīdināja vietnē Github, ka maka drošība ir vissvarīgākā. "Kods nesaņems nekādus atjauninājumus, un es to atstāju nekompilējamā stāvoklī," rakstīja izstrādātājs. "Izmantojiet kaut ko citu!"

Apmeklēt DAS: LONDONA un uzziniet, kā lielākās TradFi un kriptogrāfijas iestādes redz kriptovalūtu institucionālās ieviešanas nākotni. Reģistrēties šeit.