UXLINK o‘g‘irlanishi taxminan 11.3 million dollar texnik tahlili

Asl sarlavha: "UXLINK o‘g‘irlanishi bo‘yicha taxminan 11.3 million dollar texnik tahlil"
Asl manba: ExVul Security

Hodisa tavsifi

23-sentabr kuni, UXLINK loyihasining ko‘p imzoli hamyonining maxfiy kaliti oshkor bo‘lishi natijasida taxminan 11.3 million dollar qiymatidagi kripto-aktivlar o‘g‘irlandi va ular bir nechta markazlashtirilgan (CEX) hamda markazlashmagan (DEX) birjalarga tarqatib yuborildi. Hujum sodir bo‘lgan zahoti, biz UXLINK bilan birga ushbu hujumni tergov qilish va mablag‘lar harakatini monitoring qilish ishlarini boshladik. UXLINK tezda yirik birjalar bilan bog‘lanib, shubhali mablag‘larni muzlatib qo‘yishni so‘radi, huquq-tartibot organlari va tegishli idoralarga murojaat qilib, huquqiy yordam va aktivlarni qaytarib olish uchun ariza berdi. Hakerning asosiy aktivlari yirik birjalar tomonidan belgilab, muzlatib qo‘yildi va shu orqali jamiyat uchun keyingi xavflar maksimal darajada kamaytirildi. Loyiha jamoasi jamiyat oldida ochiqlikni saqlashga va’da berdi, ExVul esa voqea rivojini tahlil qilish va monitoring qilishni davom ettiradi.

（）

So‘nggi yangiliklar

Haker mablag‘lari harakati davomida, birjalarga kirgan mablag‘lar muzlatib qo‘yildi. Dastlabki blokcheyn kuzatuvlari orqali aniqlanishicha, ilgari UXLINK aktivlarini o‘g‘irlagan haker, ehtimol Inferno
Drainer fishing hujumiga duch kelgan. Tekshiruv natijasida, u noqonuniy olgan taxminan 542 million dona $UXLINK tokeni "avtorizatsiya fishing" usuli bilan o‘g‘irlangani tasdiqlandi.

Hujum tahlili

1. Ilgari shartnoma ko‘p imzoli Owner tomonidan yovuz niyatli harakatlar yoki maxfiy kalit oshkor bo‘lishi sababli, yovuz manzil ko‘p imzoli hisob sifatida qo‘shilgan, shuningdek, shartnomaning imzo chegarasi (threshold) 1 ga o‘zgartirilgan, ya’ni shartnoma harakatini bajarish uchun faqat bitta hisob imzosi yetarli bo‘lgan. Haker yangi Owner manzilini 0x2EF43c1D0c88C071d242B6c2D0430e1751607B87 sifatida o‘rnatgan.

()

2. Hujumchi avval Gnosis Safe Proxy shartnomasidagi execTransaction funksiyasini chaqirgan. Ushbu funksiya yovuz ko‘p imzoli a’zoni olib tashlash uchun kirish nuqtasiga aylangan va keyingi barcha yovuz harakatlar ushbu tranzaksiyaning ichida bajarilgan.

()

3. execTransaction chaqirilganda, hujumchi uning data parametrida yovuz harakatni belgilagan: delegatecall orqali Safe: Multi Send Call
Only 1.3.0 implementatsiya shartnomasini chaqirish.

()

4. Safe: Multi Send Call Only 1.3.0 dagi multiSend funksiyasida, bajarilish oqimi Gnosis Safe Proxy shartnomasining removeOwner funksiyasiga qaytariladi. Aniq jarayon quyidagicha: hujumchi avval proksi shartnomada delegatecall orqali MultiSend implementatsiya shartnomasini chaqiradi va uni proksi shartnoma kontekstida multiSend funksiyasini bajarishga majbur qiladi; so‘ng, multiSend hujumchi tuzgan parametrlar asosida call orqali Gnosis Safe Proxy shartnomasiga qaytib, removeOwner funksiyasini ishga tushiradi va mavjud Owner manzilini olib tashlaydi.

()

5. Chaqiruv muvaffaqiyatli bo‘lishining asosiysi shart msg.sender== address(this) bajarilishidadir. removeOwner funksiyasida, tashqi chaqiruvlarni oldini olish uchun, shartnomada authorized tekshiruvi o‘rnatilgan bo‘lib, ichki mantiq odatda chaqiruvchi shartnomaning o‘zi bo‘lishini talab qiladi (msg.sender == address(this)). Shu sababli, faqat shartnoma ichki jarayonida o‘ziga qayta chaqirilganda, removeOwner muvaffaqiyatli bajariladi.

6. Haker yuqoridagi usul orqali ko‘p imzoli hisobdagi boshqa Ownerlarni birma-bir olib tashlab, ko‘p imzoli mexanizmini buzdi va oxir-oqibat shartnomani to‘liq egalladi.

7. Shu tariqa, hujumchi yuqoridagi bosqichlarni takrorlash orqali asl ko‘p imzoli xavfsizlik mexanizmini butunlay ishdan chiqardi. Endi faqat bitta yovuz Owner imzosi bilan ko‘p imzoli tasdiqlashdan o‘tish va shartnomani to‘liq boshqarish mumkin bo‘ldi.

()

Xulosa

Ko‘p imzoli Owner tomonidan yovuz harakat yoki maxfiy kalit oshkor bo‘lishi sababli, hujumchi yovuz manzilni ko‘p imzoli a’zo sifatida qo‘shdi va Gnosis Safe Proxy imzo chegarasini (threshold) 1 ga o‘rnatdi, natijada asl ko‘p imzoli xavfsizlik dizayni butunlay ishdan chiqdi. Shundan so‘ng, faqat bitta yovuz Owner orqali ko‘p imzoli tasdiqlashdan o‘tish mumkin bo‘ldi. Hujumchi keyinchalik shartnomadagi boshqa Ownerlarni bosqichma-bosqich olib tashlab, shartnomani to‘liq egalladi va aktivlarni ko‘chirdi, blokcheynda yovuz niyatda $UXLINK tokenlarini chiqarishni amalga oshirdi.

Ushbu hujum hodisasi blokcheyn xavfsizligida ko‘p imzoli boshqaruvning muhimligini yana bir bor ko‘rsatdi. Garchi loyiha Safe ko‘p imzoli mexanizmini va bir nechta ko‘p imzoli hisoblarni ishlatgan bo‘lsa-da, boshqaruvdagi kamchiliklar sababli ko‘p imzoli dizayn amalda samarasiz bo‘lib qoldi. ExVul jamoasi loyiha jamoalariga ko‘p imzoli boshqaruvda imkon qadar markazsizlashtirishni, masalan, har bir a’zo maxfiy kalitni alohida saqlashini va maxfiy kalitlarni turli usullarda saqlashni tavsiya qiladi, shunda ko‘p imzoli mexanizm haqiqiy xavfsizlik himoyasini ta’minlay oladi.

Ilova

Quyida ExVul jamoasi blokcheynda kuzatgan ehtimoliy haker manzillari keltirilgan: