Bitcoin statymo platforma kenčia nuo 1,5 mln

Bitcoin statymo platforma b14g spalio 31 d. patyrė 1,47 mln. USD išnaudojimą ir prarado maždaug 97 mln. CORE žetonų.

Remiantis „blockchain“ analizės įmonės „Bitquery“ tyrimu, užpuolikas per vieną sandorį išnaudojo 91 akcijų poziciją, pateikdamas nulinės CORE atėmimo užklausas.

Statymo platforma patvirtino neteisėtus išėmimus ir teigė, kad sustabdė paveiktas sutartis, derindama veiksmus su pagrindine komanda, saugumo partneriais ir mainais, kad atgautų lėšas.

Tačiau b14g paaiškino, kad pažeidimas apsiribojo CORE indėliais. Bitkoinas, sumokėtas naudojant protokolą, lieka užrakintas BTC blokų grandinėje ir nebuvo paveiktas.

Kaip įsilaužėliai išnaudojo b14g pašalinimo mechanizmą

„Bitquery“ tyrimas atskleidė, kad užpuolikas pasinaudojo b14g pašalinimo mechanizmo ir „Core“ akcijų sutarčių sąveikos trūkumu.

Įprastomis aplinkybėmis „b14g“ leidžia „Bitcoin“ turėtojams susieti savo BTC su „CORE“ indėliu, kad gautų didesnį statymo atlygį. Protokolas valdo šiuos susitarimus per stažuotes pozicijas, kurios turi CORE ir perduoda ją tikrintojams.

Tačiau „Core“ statymo sutartyje yra neįprasta nuostata, pagal kurią nulinių žetonų atėmimo užklausa aiškinama kaip nurodymas atsiimti visą sumokėtą likutį.

Užpuolikas pasinaudojo šiuo elgesiu, pateikdamas 99 nulinės vertės išėmimo užklausas dėl akcijų pozicijų, kurių nefinansavo.

Užuot atmetę neteisėtus prašymus, b14g sutartis juos priėmė ir perdavė nurodymus Core statymo sistemai, kuri išleido maždaug 97 milijonus žetonų.

Bitquery teigė, kad išnaudojimas įvyko 09:29 UTC, pavogtus žetonus perkėlus į užpuoliko valdomą piniginę.

Tyrimo metu nerasta jokių įrodymų, kad užpuolikui reikėjo pažeisto administratoriaus rakto arba naujai įdiegtos kenkėjiškos sutarties. Vietoj to, kaip pranešama, pagrindinė sutarties logika galiojo maždaug 17 mėnesių.

Tačiau „Bitquery“ perspėjo, kad neperžiūrėjo pagrindinio „b14g“ šaltinio kodo ir negalėjo nustatyti tikslios programavimo klaidos, leidžiančios neteisėtai išsiimti.

Tuo tarpu blokų grandinės įrašai parodė, kad b14g nesustabdė paveiktų sutarčių iki 10:35 UTC, praėjus maždaug 66 minutėms po pradinės atakos.

Per tą laikotarpį užpuolikas per kelis naujai sukurtus adresus iš pirminės piniginės pervedė 23 milijonus CORE.

Laiko juosta nenurodo, kada b14g aptiko pažeidimą, nors platforma teigė, kad sustabdė sutartis iškart po to, kai nustatė incidentą.

Tolesnis sekimas atskleidė, kad kai kurios pavogtos lėšos buvo perkeltos per tarpinius adresus, prijungtus prie mainų infrastruktūros, susijusios su Bybit, Gate.io ir MEXC.

„Bitquery“ taip pat nustatė paslaugą, kuri suteikė užpuoliko pradinius operacijų mokesčius, tada gavo apie 11 milijonų CORE iš pavogtų lėšų ir persiuntė jas MEXC depozito adresu.

Tačiau analizės įmonė perspėjo, kad kai kurios tarpinės piniginės taip pat tvarko kitų klientų turtą, todėl kiekvieną paskesnį pervedimą sunku priskirti tiesiogiai užpuolikui.

Iki spalio 31 d. vakaro maždaug 68 milijonai CORE, sudarantys 70 % pavogtų žetonų, liko nepajudinti trijose piniginėse.

Atskirai b14g pranešė, kad mainų partneriai užšaldė maždaug 9 milijonus CORE, susietų su užpuoliku.

Savo atsakyme „Core DAO“ teigė, kad pagrindinė „blockchain“ nebuvo pažeista, pabrėždama, kad jos konsensuso mechanizmas, patvirtinimo priemonės ir sutarčių sudarymas veikė įprastai viso incidento metu.

Taip pat teigiama, kad CORE, tiesiogiai su tikrintojais ar kitais protokolais, nebuvo paveikta.

„b14g“ įsipareigojo paskelbti išsamų pomirtinį dokumentą, paaiškinantį techninę išnaudojimo priežastį, vartotojų nuostolių mastą ir kitus veiksmus paveiktiems indėlininkams. Platforma dar neatskleidė kompensavimo plano.