Wintermute Hack za 160 miliónov dolárov sa stal piatym najväčším využívaním DeFi v roku 2022

CEO Wintermute, Evgeny Gaevoy potvrdil, že multimiliónový hack Wintermute bol spojený s kritickou chybou v Ethereum nástroj na generovanie márnych adries s názvom vulgárne výrazy.

Wintermute, tvorca algoritmu trhu s kryptografickými aktívami, bol v utorok hit za 160 miliónov dolárov defi operácie, povedal Gaevoy. Ukradli viac ako 90 aktív rôznej hodnoty, dodal.

Hack príde o niekoľko dní neskôr 1inch príznakom Vulgárne generované adresy sú vysoko rizikové.

Vulgárne výrazy sú nástroj, ktorý umožňuje používateľom Etherea vytvárať „ješitné adresy“ – personalizované peňaženka adresy, ktoré obsahujú správy čitateľné pre človeka, čo uľahčuje prenos.

Chyba vulgárnych výrazov vedie k narušeniu peňaženky

skôr, Binance CEO, Changpeng Zhao posted na Twitteri, že zneužitie Wintermute vyzeralo „ako vulgárne výrazy“, ale nevysvetlilo ako.

„Ak ste v minulosti používali márnivé adresy, možno budete chcieť presunúť tieto prostriedky do inej peňaženky,“ upozornil.

Hlavné informácie o polygóne zabezpečenia dôstojník Mudit Gupta potvrdil tieto tvrdenia dôkazmi.

"Rýchlo som sa pozrel a môj najlepší odhad je, že to bol kompromis v horúcej peňaženke kvôli chybe vulgárnych výrazov, ktorá bola verejne odhalená pred niekoľkými týždňami," povedal Gupta. príspevok v blogu.

„Tieto prevody povoľuje trezor iba správcom a podľa očakávania je správcom Wintermuteho horúca peňaženka. Preto zmluvy fungovali podľa očakávania, ale samotná adresa správcu bola pravdepodobne ohrozená,“ povedal a dodal:

„Administrátorská adresa je márnivá adresa (začína sa zhlukom núl), ktorá mohla byť vygenerovaná pomocou slávneho, ale chybného nástroja na generovanie márnosti s názvom Profanity.“

Kryptografická bezpečnostná spoločnosť Certik tiež vysvetlila, ako bol útok vykonaný. „Vykorisťovateľ použil privilegovanú funkciu s únikom súkromného kľúča, aby určil, že swapová zmluva bola zmluva kontrolovaná útočníkom,“ uvádza sa v blogovom príspevku.

Predpokladá sa, že je nemožné replikovať adresy, ale hackeri našli spôsob, ako tieto kódy spätne vypočítať a získať prístup k miliónom dolárov.

CEO Wintermute, Evgeny Gaevoy neskôr potvrdil, že hack bol spojený s Profanity. Evgeny rozobral incident.

„Útok pravdepodobne súvisel s naším zneužitím vulgárneho typu defi obchodná peňaženka. Použili sme vulgárne výrazy a interný nástroj na generovanie adries s mnohými nulami vpredu. Naším dôvodom bola optimalizácia plynu, nie „márnosť“, uviedol v a Twitter vlákno.

DEX odvtedy „prešiel na bezpečnejší skript generovania kľúčov“. „Keď sme sa minulý týždeň dozvedeli o zneužití vulgárnych výrazov, urýchlili sme stiahnutie 'starého kľúča',“ povedal Gaevoy.

Ignorované varovanie?

Wintermuteov hack prichádza niekoľko dní po tom, čo DEX agregátor 1inch Network vydal varovanie, že ľudia, ktorých účty sú prepojené s Profanity, nie sú v bezpečí. Firma objavila zraniteľnosť v populárnom nástroji na oslovenie, ktorý ohrozil milióny dolárov v používateľských peniazoch.

„Čo najskôr preneste všetky svoje aktíva do inej peňaženky,“ 1 palec Varoval v tom čase. „Ak ste použili Profanity na získanie adresy inteligentnej zmluvy, nezabudnite zmeniť vlastníkov tejto inteligentnej zmluvy.“

Vývojár stojaci za Profanity, známy na Github ako „johguse“, prijatý že nástroj bol v súčasnej podobe veľmi riskantný.

„Dôrazne neodporúčam používať tento nástroj v jeho súčasnom stave. Kód nebude dostávať žiadne aktualizácie a ponechal som ho v nekompilovateľnom stave. Použi niečo iné!" johguse napísal na Github.

Útok Wintermute nie je prvým prípadom, kedy boli kódy manipulované s cieľom ukradnúť prostriedky používateľov. Začiatkom tohto mesiaca hackeri ukradli viac ako 3.3 milióna dolárov v ETH z niekoľkých adries peňaženiek súvisiacich s vulgárnymi prejavmi pomocou rovnakej metódy, podľa na krypto detektíva ZachXBT.

Využitie Wintermute v hodnote 160 miliónov dolárov z neho robí iba piaty najväčší hack DeFi v roku 2022. Tento exploit zaostáva za niekoľkými kľúčovými exploitmi v tomto roku, najmä za hacknutím Ronin Bridge za 550 miliónov dolárov z marca tohto roku.

Pre najnovšie Be[In]Crypto Bitcoin (BTC) analýza, kliknite tu.

Vylúčenie zodpovednosti

Všetky informácie uvedené na našej webovej stránke sú zverejnené v dobrej viere a iba na všeobecné informačné účely. Akékoľvek kroky, ktoré čitateľ vykoná na základe informácií nájdených na našej webovej stránke, sú výlučne na jeho vlastné riziko.