Hacker gaben sich als eth.limo-Team aus, um die Domain zu kapern: Post-mortem

Das Ethereum Name Service Gateway eth.limo hat bekannt gegeben, dass die Adressepiraterie am Freitag durch einen Social-Engineering-Angriff auf EasyDNS, seinen Domain-Name-Service-Anbieter, verursacht wurde. 

Laut einem von eth.limo am Samstag veröffentlichten Postmortem-Bericht gab sich ein Angreifer als eines seiner Teammitglieder aus, um einen Kontowiederherstellungsprozess bei easyDNS einzuleiten, wodurch er Zugang zum eth.limo-Konto erhielt und die Domain-Einstellungen ändern konnte.

„Die NS-Einträge wurden geändert und auf Cloudflare umgeleitet... Sobald wir verstanden hatten, dass eine DNS-Kaperei stattgefunden hatte, informierten wir sofort die Community sowie Vitalik Buterin und andere. Dann begannen wir, EasyDNS zu kontaktieren, um auf den Vorfall zu reagieren", sagte das Unternehmen.

Eth.limo dient als Web2-Brücke und bietet Zugang zu etwa 2 Millionen dezentralisierten Websites mit der .eth-Domain. Die Kaperei des Dienstes könnte es einem Angreifer ermöglichen, Benutzer auf bösartige Websites umzuleiten. Ethereum-Mitbegründer Vitalik Buterin warnte Benutzer am Freitag, seinen Blog zu meiden, bis der Vorfall gelöst sei.

Mark Jeftovic, CEO von easyDNS, hat in seinem eigenen Postmortem-Bericht öffentlich die Verantwortung für den Vorfall übernommen. 

„Wir haben es vermasselt und stehen dazu", sagte Jeftovic am Samstag. 

Beide Unternehmen haben auf die Domain Name System Security Extension (DNSSEC) hingewiesen, die die Versuche des Hackers, weiteren Schaden anzurichten, vereitelt hat. 

Der Angreifer konnte keine gültigen kryptografischen Signaturen erstellen, sodass Domain Name System Resolver die gefälschten DNS-Antworten des Angreifers ablehnten, wodurch Benutzer Fehlermeldungen sahen, anstatt auf bösartige Websites umgeleitet zu werden. 

„DNSSEC war für ihre Domain aktiviert, als die Angreifer versuchten, ihre Nameserver zu ändern, vermutlich um eine Art Phishing- oder Malware-Injection-Angriff durchzuführen. DNSSEC-fähige Resolver, was heutzutage die meisten sind, begannen, Anfragen zu verwerfen", sagte Jeftovic. 

In seinem Postmortem-Bericht stellte eth.limo fest, dass der Angreifer, da er nicht über die Signaturschlüssel verfügte, die Schutzmaßnahmen nicht umgehen konnte, was wahrscheinlich „den Explosionsradius der Kaperei reduziert hat. Wir sind uns derzeit keiner Auswirkungen auf Benutzer bewusst. Wir werden Updates bereitstellen, wenn sich das ändert."

easyDNS nimmt seit dem Angriff Änderungen vor

Jeftovic beschrieb den Social-Engineering-Angriff als „hochentwickelt" und sagte, easyDNS führe immer noch eine Postmortem-Analyse darüber durch, wie die Sicherheitsverletzung stattfand, und habe bereits begonnen, Änderungen einzuführen, um eine Wiederholung zu verhindern.

„Im Fall von eth.limo werden wir sie zu Domainsure migrieren, das eine Sicherheitsposition hat, die besser für Unternehmens- und hochwertige Fintech-Domains geeignet ist. Kurz gesagt, es gibt keinen Mechanismus für eine Kontowiederherstellung auf Domainsure, das gibt es nicht", fügte er hinzu.

„Im Namen aller hier entschuldige ich mich beim eth.limo-Team und der breiteren Ethereum-Community. ENS hatte schon immer einen besonderen Platz in unserem Herzen als erster Registrar, der ENS-Verknüpfungen mit Web2-Domains ermöglichte, und wir sind seit 2017 in diesem Bereich tätig."

Verwandt: RaveDAO bestreitet Manipulation, während Binance und Bitget RAVE-Handelsaktivitäten untersuchen

Der eth.limo-Vorfall ist der jüngste in einer Reihe von Adressepiraterie-Angriffen auf Krypto-Projekte. Tage zuvor verlor der dezentralisierte Börsen-Aggregator CoW Swap die Kontrolle über seine Website, nachdem eine unbekannte Partei seine Domain gekapert hatte. 

Steakhouse Financial, ein DeFi-Beratungs- und Forschungsunternehmen, gab Ende März ebenfalls bekannt, dass es die Kontrolle über seine Domain an einen Angreifer verloren hatte.

Magazin: Wird der CLARITY Act gut – oder schlecht – für DeFi sein?