Το πρωτόκολλο Wasabi υπέστη τεράστιο χακάρισμα, χάνοντας περισσότερα από 5,5 εκατομμύρια δολάρια σε τέσσερα blockchain: Ethereum, Base, Blast και Berachain.
Η εκμετάλλευση προέρχεται από ευπάθειες, αλλά οι έρευνες μέχρι σήμερα επιβεβαιώνουν ότι η εκμετάλλευση δεν οφειλόταν σε κάποια αδυναμία του ίδιου του κώδικα του έξυπνου συμβολαίου του πρωτοκόλλου. Αντίθετα, το χακάρισμα οφειλόταν σε παραβιασμένο πορτοφόλι deployer, αποκαλύπτοντας μία από τις πάγιες αδυναμίες του DeFi: την υπερβολική εξάρτηση από κεντρικοποιημένη διακυβέρνηση.
Οι αναλυτές ασφαλείας εντόπισαν το περιστατικό σχεδόν αμέσως, καθώς παρατήρησαν ότι η επίθεση κινήθηκε γρήγορα και ακολούθησε συνεπή μέθοδο σε κάθε υποστηριζόμενη αλυσίδα. Το γεγονός έχει κεντρίσει το ενδιαφέρον μελών της κοινότητας κρυπτονομισμάτων που το βλέπουν ως χαρακτηριστικό παράδειγμα του πώς ευπάθειες μη σχετικές με κώδικα μπορούν να προκαλέσουν χάος.
Κατάχρηση Δικαιωμάτων Διαχειριστή από την Επίθεση
Η επίθεση εκμεταλλεύτηκε τη διαχείριση με πολύ συστηματικό τρόπο. Αρχικά, παραβιάστηκε ο κεντρικός ρόλος που ελεγχόταν μια ολόκληρη σειρά δυναμικών κόμβων που μπορούν να δημιουργηθούν από όσους έχουν πρόσβαση σε αυτούς.
Χρησιμοποιώντας αυτή την πρόσβαση, ο επιτιθέμενος κάλεσε το grantRole, δίνοντας άμεσα σε ένα κακόβουλο νέο συμβόλαιο δικαιώματα διαχειριστή. Το κεντρικό χαρακτηριστικό αυτής της επιχείρησης ήταν ότι παρέκαμψε όλες τις προστασίες καθυστέρησης, καθώς το σύστημα επέτρεπε αναθέσεις ρόλων χωρίς κανένα timelock.
Αφού απέκτησε διοικητικό έλεγχο, ο επιτιθέμενος ανέπτυξε ένα συμβόλαιο orchestrator που κάλεσε διαδοχικά το strategy deposit για κάθε θησαυροφυλάκιο. Με το συμβόλαιο να έχει πλέον δικαιώματα επιπέδου διαχειριστή, ο μοναδικός τροποποιητής admin, που προορίζεται να περιορίζει την πρόσβαση, κατέστη αναποτελεσματικός.
Αυτό επέτρεψε στον επιτιθέμενο να αδειάσει απευθείας τα assets από τα θησαυροφυλάκια, μεταφέροντας κεφάλαια σε EOAs σε όλες τις τέσσερις αλυσίδες. Η ταχύτητα και η ακρίβεια της επίθεσης υποδηλώνουν ότι ήταν ήδη εξοικειωμένοι με την αρχιτεκτονική του συστήματος και τις ευπάθειές του.
Άμεσα Μέτρα Ανάκτησης Απενεργοποιούν την Παραβιασμένη Πρόσβαση
Στη συνέχεια, ελήφθησαν μέτρα on-chain για την άμεση απενεργοποίηση των δικαιωμάτων του παραβιασμένου κλειδιού. Όλοι οι σημαντικοί ρόλοι (π.χ. ADMIN, καθώς και αναγνωριστικά ρόλων όπως 100, 101, 102 και 103) αφαιρέθηκαν από το αρχικό παραβιασμένο πορτοφόλι deployer. Αυτό αφαίρεσε πλήρως οποιαδήποτε εναπομείνασα πρόσβαση διαχειριστή για τον επιτιθέμενο στο πρωτόκολλο. Ως αποτέλεσμα, αυτή η παραβίαση έκλεισε το συγκεκριμένο διάνυσμα επίθεσης.
Οι αναλυτές λένε ότι το παραβιασμένο κλειδί δεν μπορεί πλέον να χρησιμοποιηθεί για οποιονδήποτε περαιτέρω γύρο μη εξουσιοδοτημένων λειτουργιών, ένα ορόσημο στη διακοπή αυτού του περιστατικού. Ωστόσο, παρόλο που η πρόσβαση έχει αποκατασταθεί, τα εναπομείναντα κλεμμένα κεφάλαια βρίσκονται στα πορτοφόλια των επιτιθέμενων σε αυτές τις αλυσίδες χωρίς επιλογές ανάκτησης αυτή τη στιγμή.
Οι χρήστες του πρωτοκόλλου έχουν μείνει με LP tokens χωρίς αξία και περιμένουν ανακοίνωση σχεδίου αποζημίωσης. Η παραβίαση είχε τεράστιο αντίκτυπο στους χρήστες. Σε αυτή την περίπτωση, τα μερίδια LP tokens που βρίσκονταν ακόμα στα πορτοφόλια των χρηστών έχασαν την αξία τους, τουλάχιστον προσωρινά, καθώς τα assets που κατέχουν τα θησαυροφυλάκια έχουν αδειαστεί.
Η ομάδα του Wasabi Protocol επιβεβαίωσε το περιστατικό και δήλωσε ότι οι έρευνες βρίσκονται σε εξέλιξη. Μέχρι νεωτέρας, συνιστάται ανεπιφύλακτα στους χρήστες να αποφεύγουν τη χρήση οποιωνδήποτε συμβολαίων Wasabi για να περιορίσουν πρόσθετους κινδύνους. Εταιρείες ασφαλείας όπως η SEAL 911 και η Blockaid συνεργάζονται άμεσα με την ομάδα του πρωτοκόλλου για να κατανοήσουν την έκταση της ζημίας και να περιγράψουν μέτρα αποκατάστασης. Αυτή τη στιγμή, η κοινότητα αναμένει πληροφορίες για ένα σχέδιο αποζημίωσης που θα είναι ζωτικής σημασίας για την αποκατάσταση της εμπιστοσύνης και τη βοήθεια των χρηστών να ανακτήσουν τις απώλειές τους.
Το Virtuals Protocol Ανταποκρίνεται Παγώνοντας τις Λειτουργίες που Συνδέονται με το Wasabi
Επανειλημμένα, η εκμετάλλευση έχει επηρεάσει συνδεδεμένες πλατφόρμες, μεταξύ αυτών το Virtuals Protocol, το οποίο χρησιμοποιεί την υποδομή του Wasabi για ορισμένα συστήματα.
Το Virtuals Protocol ανταποκρίθηκε γρήγορα παγώνοντας τις καταθέσεις περιθωρίου που σχετίζονται με το Wasabi. Έλαβαν προφυλάξεις και διασφάλισαν ότι οι βασικές λειτουργίες του, οι συναλλαγές, οι αναλήψεις και οι λειτουργίες agent, εξακολουθούν να λειτουργούν.
Καθώς η κατάσταση εξελίσσεται ακόμα, οι χρήστες προειδοποιούνται να μην υπογράφουν κανενός είδους συναλλαγή σχετική με το Wasabi. Η ομάδα τόνισε ότι αυτοί οι περιορισμοί είναι προσωρινοί και θα παραμείνουν σε ισχύ μέχρι να μπορέσουν να εξασφαλίσουν την ακεραιότητα των upstream συστημάτων.
Ο ZachXBT Επικρίνει την Απουσία Θεμελιωδών Προστασιών Ασφαλείας
Η εκμετάλλευση προκάλεσε νέες συζητήσεις σχετικά με την ωριμότητα των πρακτικών ασφαλείας στο DeFi, εν μέσω συνεχιζόμενων ερωτημάτων για τη χρήση διοικητικών ελέγχων. Ο εμπειρογνώμονας ανάλυσης blockchain ZachXBT αμφισβητεί τη λογική πίσω από το γεγονός ότι ένας μόνο εξωτερικά κατεχόμενος λογαριασμός (EOA) απέκτησε τόσο ευρύ γενικό έλεγχο με βασικά δίχτυα ασφαλείας όπως το multisig και χωρίς δυνατότητα timelock.
Η κριτική του είναι ενδεικτική μιας ευρύτερης τάσης στον κλάδο: τα έξυπνα συμβόλαια υποβάλλονται τακτικά σε εκτεταμένους ελέγχους, αλλά οι δομές ασφάλειας και διακυβέρνησης της καθημερινής λειτουργίας συχνά παραμένουν εύκολοι στόχοι.
Οι Εκμεταλλεύσεις Μη Κώδικα Αυξάνονται τον Απρίλιο
Το περιστατικό Wasabi είναι ένα χαρακτηριστικό παράδειγμα κάτι που παρατηρήσαμε να κλιμακώνεται καθ' όλη τη διάρκεια του Απριλίου: η εμφάνιση μεγάλων εκμεταλλεύσεων που δεν οφείλονται σε ελαττώματα έξυπνων συμβολαίων, αλλά μάλλον σε ζητήματα διοικητικής ασφάλειας.
Η λογική του συμβολαίου λειτούργησε όπως σχεδιάστηκε σε αυτή την περίπτωση. Το μοντέλο εμπιστοσύνης απέτυχε, απλά και μόνο αυτό· σε αυτή την περίπτωση το S1 χρησιμοποίησε ένα μόνο κλειδί admin για τον έλεγχο upstream χωρίς επιπλέον στρώματα προστασίας.
Αυτό το μοτίβο προσομοιώνει μια αλλαγή στο τοπίο των απειλών. Όλο και λιγότερο οι επιτιθέμενοι προσπαθούν να παραβιάσουν κώδικα που είναι δύσκολο να υπονομευθεί, αλλά στρέφονται περισσότερο προς τον δρόμο της ελάχιστης αντίστασης εστιάζοντας στις ευπάθειες διακυβέρνησης και λειτουργίας.
Το δίδαγμα τόσο για τους προγραμματιστές όσο και για τα πρωτόκολλα είναι ότι η ασφάλεια υπερβαίνει τον έλεγχο κώδικα και επεκτείνεται στη διασφάλιση αυστηρών πολιτικών διαχείρισης κλειδιών, ελέγχων πρόσβασης και μηχανισμών ασφαλείας.
Καθώς οι έρευνες συνεχίζουν να αποκαλύπτουν περισσότερες λεπτομέρειες, η εκμετάλλευση Wasabi είναι πιθανό να καταστεί ένα σημαντικό παράδειγμα των αυξανόμενων κινδύνων που αντιμετωπίζει η αποκεντρωμένη χρηματοδότηση.
Αποκάλυψη: Αυτό δεν αποτελεί συμβουλή συναλλαγών ή επενδύσεων. Κάντε πάντα τη δική σας έρευνα πριν αγοράσετε οποιοδήποτε κρυπτονόμισμα ή επενδύσετε σε οποιεσδήποτε υπηρεσίες.
Ακολουθήστε μας στο Twitter @nulltxnews για να ενημερώνεστε με τα τελευταία νέα για Crypto, NFT, AI, Κυβερνοασφάλεια, Κατανεμημένη Υπολογιστική και Metaverse!
Source: https://nulltx.com/wasabi-protocol-exploit-drains-5-5m-across-four-chains-as-compromised-admin-key-exposes-critical-security-flaw/
