Известная уязвимость в закрытых ключах, вероятно, использовалась при взломе Wintermute стоимостью 160 млн долларов США

Компания Certik, занимающаяся кибербезопасностью блокчейна, заявила, что в ходе взлома Wintermute был атакован уязвимый закрытый ключ. Вероятно, была использована уязвимость в закрытых ключах, генерируемых приложением Profanity. Об уязвимости известно по крайней мере с января.

Алгоритмический криптомаркет-мейкер, базирующийся в Великобритании, объявил о взломе во вторник и сообщил, что внебиржевые и централизованные финансовые операции не пострадали. Были похищены криптовалюты на сумму около 162,5 млн долларов. “Мы платежеспособны, у нас осталось вдвое больше этой суммы”, – написал в твиттере генеральный директор Wintermute Евгений Гаевой.

Компания Certik сообщила в своем блоге, что взлом произошел из-за утечки или взлома закрытого ключа, а не из-за уязвимости смарт-контракта:

“Эксплуататор использовал привилегированную функцию с утечкой закрытого ключа, чтобы указать, что своп-контракт был контрактом, контролируемым злоумышленником”.

В компании добавили, что, вероятно, во взломе виновата уязвимость в популярном генераторе тщеславных адресов Profanity.

Certik отметил, что децентрализованная биржа 1inch Network раскрыла очевидную уязвимость Profanity в блоге 13 сентября и последующем предупреждении в Twitter. Пользователи 1inch заметили уязвимость после того, как в июне произошел подозрительный airdrop. 1inch сообщила об этом в своем блоге:

“Profanity является одним из самых популярных инструментов благодаря своей высокой эффективности. К сожалению, это может означать только то, что большинство кошельков Profanity были тайно взломаны”.

Уязвимость обвинили во взломе $3,3 млн 13 сентября. Пользователи GitHub заметили проблему в январе 2022 года, что заставило разработчика отказаться от проекта, а затем архивировать его 15 сентября.

БЕГИТЕ, ДУРАКИ!

⚠️ Спойлер: Ваши деньги НЕ САФУ, если адрес вашего кошелька был сгенерирован с помощью инструмента Profanity. Переведите все свои активы на другой кошелек как можно скорее!

➡️ Читать далее: #криптовалюты #уязвимость #1inch

– 1inch Network (@1inch) 15 сентября 2022 г.

Закрытый ключ получается из начальной фразы пользователя, которая представляет собой список из 12-24 слов, связанных с кошельком, что позволяет пользователю восстановить криптовалюту в кошельке, даже если кошелек потерян или удален.

По данным Certik, в этом году из-за взлома закрытых ключей было потеряно около 273,9 млн долларов, что делает этот метод “одним из крупнейших векторов атак”. Атака Wintermute является самой крупной, а взлом протокола Harmony в июне занял второе место с суммой в 97 миллионов долларов.

Adblock
detector