Отчет: Эксплойт токена GALA стал результатом публичной утечки закрытого ключа на GitHub

Согласно новому сообщению фирмы SlowMist, занимающейся вопросами безопасности блокчейна, опубликованному 7 ноября, похоже, что эксплойт токенов, затронувший на прошлой неделе проект GameFi Gala Games, стал результатом публичной утечки применимых ключей безопасности на GitHub. По данным SlowMist, pNetwork, мост межцепочечной совместимости, используемый Gala Games на смарт-цепочке BNB, имел три привилегированные роли в смарт-контракте pGALA.

«Роль Admin используется для управления обновлениями и изменениями адреса Admin прокси-контракта. Роль DEFAULT_ADMIN_ROLE используется для управления различными привилегированными ролями в логике (например, MINTER_ROLE ), а роль MINTER_ROLE управляет органом майнинга токенов pGALA.»

SlowMist продолжил объяснять, что роли DEFAULT_ADMIN_ROLE и MINTER_ROLE контролировались pNetwork во время инициализации. Между тем, контракт proxy admin был внешним адресом, ответственным за обновление контракта pGALA. Однако фирма опубликовала скриншот, утверждающий, что закрытый ключ в открытом виде для адреса владельца proxy admin был раскрыт и доступен для публичного просмотра на GitHub. Таким образом, любой пользователь, имеющий доступ к закрытому ключу, мог в любой момент манипулировать контрактом pGALA. 28 августа владелец контракта proxy admin был заменен, что сделало протокол уязвимым для атаки.

Токен-мост Gala Games был использован 3 ноября после того, как один адрес кошелька, как оказалось, намайнил из воздуха токенов GALA (GALA) на сумму более 2 миллиардов долларов и выбросил их на децентрализованную биржу PancakeSwap. Из пула ликвидности было выведено 12 977 BNB (БНБ) стоимостью $4,5 млн.

Криптовалютная биржа Huobi заявила, что вышеупомянутые действия были схемой для получения прибыли, организованной pNetwork. Последняя опровергла эти обвинения, заявив в своем посмертном анализе, что «никаких потерь средств на межцепочечном мосту GALA не произошло. Все токены GALA на Ethereum в безопасности».

1/2 Мы решительно осуждаем обвинения Huobi в адрес pNetwork как неправдивые и будем добиваться соответствующего судебного разбирательства.

У нас есть документальные доказательства того, что pNetwork действовала добросовестно, что все действия были заранее согласованы с GalaGames и что…

— pNetwork (@pNetworkDeFi) 6 ноября 2022 г.