Сотни забытых Ethereum-кошельков были опустошены, и причина может быть связана с событиями многих лет назад
Сотни Ethereum-кошельков, которые долгое время не использовались, были опустошены и переведены на один и тот же адрес, что стало серьезным предупреждением о безопасности в криптовалютной сфере. 30 апреля WazzCrypto сообщил о данном инциденте, который затронул кошельки на основной сети Ethereum. Это предупреждение быстро распространилось, так как затронутые счета не выглядели как новые горячие кошельки. Это были старые кошельки с тихой историей, некоторые из которых были связаны с активами и инструментами из более ранней эпохи Ethereum.
Согласно данным, более 260 ETH, что эквивалентно примерно 600 000 долларов, было выведено из сотен неактивных кошельков. Более 500 кошельков, по предварительным оценкам, были затронуты, а общие потери составили около 800 000 долларов. Многие из этих кошельков не использовались в течение четырех-восьми лет. Связанный адрес на Etherscan помечен как Fake_Phishing2831105 и показывает 596 транзакций, среди которых 324.741 ETH было переведено на THORChain Router v4.1.1 около 30 апреля.
Неизвестный вектор компрометации
На данный момент наиболее важным является то, что долгое время неактивные кошельки были перемещены на общий адрес, в то время как путь компрометации остается неразрешенным. Этот неразрешенный вектор делает данное событие самым серьезным предупреждением на этой неделе, особенно на фоне роста взломов в DeFi. Обычно при эксплуатации протоколов исследователи могут получить доступ к контракту, функции или привилегированной транзакции для анализа. В данном случае центральный вопрос касается уровня кошельков. Получил ли кто-то доступ к старым сид-фразам, взломал слабо сгенерированные ключи, использовал утечку приватных ключей, злоупотребил инструментом, который когда-то обрабатывал ключи, или использовал другой путь, который еще не был выявлен?
Общественное обсуждение породило несколько теорий, включая слабую энтропию в старых инструментах для кошельков, компрометированные мнемоники, обработку ключей торговыми ботами и хранение сид-фраз в LastPass. Один из пострадавших пользователей лично поднял теорию о LastPass.
Практические советы для пользователей
Практические советы для пользователей в данной ситуации ограничены, но они крайне важны. Неподвижность не снижает риск утечки приватных ключей. Кошелек с ценными активами зависит от полной истории ключа, сид-фразы, устройства, которое его сгенерировало, программного обеспечения, которое с ним работало, и каждого места, где этот секрет мог быть сохранен. Для пользователей ответ, вероятно, заключается в инвентаризации старых кошельков с высокой стоимостью, перемещении средств только после настройки новых ключей через надежное оборудование или современное программное обеспечение для кошельков, а также избегании ввода старых сид-фраз в проверочные инструменты, скрипты или незнакомые инструменты восстановления. Отмена разрешений помогает при экспозиции протоколов, включая предупреждение пользователей Wasabi, но прямое опустошение кошелька указывает в первую очередь на безопасность ключей, а не на одобрения токенов.
Апрель стал месяцем увеличения уязвимостей
Инциденты с кошельками произошли на фоне уже повышенного числа взломов в криптовалютной сфере в апреле. По данным, связанным с DefiLlama, в апреле произошло примерно 28-30 инцидентов, в результате которых было украдено более 625 миллионов долларов. По состоянию на 1 мая, живой API DefiLlama показал 28 инцидентов в апреле с общими потерями в 635 241 950 долларов. В обсуждении на рынке 1 мая была отмечена точка давления: утечки из кошельков на этой неделе, взлом административного ключа протокола Wasabi и более крупные потери в DeFi в апреле все затрагивают контрольные поверхности, которые обычные пользователи редко проверяют. Связь между событиями месяца имеет архитектурный, а не атрибутивный характер.
Пути атаки через административные права
Протокол Wasabi является ярким примером недавнего инцидента. Сообщается, что 30 апреля было выведено примерно от 4.5 до 5.5 миллионов долларов после того, как злоумышленник получил права администратора и использовал UUPS-прокси-обновления для опустошения хранилищ и пулов по всей сети Ethereum, Base и Blast. Ранние предупреждения о безопасности указали на паттерн обновления администратора по мере развития атаки. Сообщенные механизмы ставят управление ключами в центр инцидента. Возможность обновления может быть нормальной частью инфраструктуры обслуживания. Концентрированная власть обновления превращает этот путь обслуживания в высокоценную цель. Если один развертыватель или привилегированная учетная запись может изменить логику реализации на разных цепях, граница вокруг проверенного контракта может исчезнуть, как только эта власть будет скомпрометирована.
Проблемы с потерями среди подписантов и проверяющих
Ситуация с Drift перенесла ту же проблему контроля в рабочий процесс подписантов. Chainalysis описал социальную инженерию, долговременные транзакции с нонсом, фальшивое обеспечение, манипуляцию оракулами и миграцию Совета безопасности с нулевым таймлоком 2 из 5. Blockaid оценил потери в 285 миллионов долларов и утверждал, что симуляция транзакций и более строгие политики со-подписания могли бы изменить исход. Дело Drift имеет значение, потому что путь не зависел от простой ошибки в публичной функции. Он зависел от рабочего процесса, в котором действительные подписи и быстрое управление могли быть использованы для враждебной миграции. Процесс подписания стал контрольной поверхностью.
Заключение
Апрель показал, что контрольный список безопасности среднего пользователя, вероятно, неполон. Аудиты, публичные контракты и децентрализованные интерфейсы могут сосуществовать с концентрированной административной властью, слабыми процедурами подписания, хрупкой проверкой мостов и старыми секретами кошельков. Следующий квартал вознаградит доказательства над языком децентрализации: ограниченные права обновления, видимые таймлоки, независимые пути проверки, симуляция транзакций для привилегированных действий, дисциплинированные контроль доступа и документированная ротация ключей. Утечки из неактивных кошельков показывают неудобную пользовательскую версию той же проблемы. Система может выглядеть тихой, в то время как старая ошибка управления ждет в фоновом режиме. Волна взломов в апреле выявила этот уровень выше кода; следующий этап покажет, какие команды рассматривают это как основную безопасность до того, как средства будут перемещены.
