Base-ketjun holvista varastettiin 6 miljoonaa dollaria – tietoturvayhtiö syyttää puuttuvaa ilmoituskanavaa
- Base-ketjun tuntemattomasta holvista vietiin noin 6 miljoonaa dollaria wstETH-tokenia haitallisen sopimuksen avulla.
- Immunefin tietoturvajohtaja Gonçalo Magalhães sanoo, että holvin anonymiteetti esti valkohattututkijaa korjaamasta haavoittuvuutta ajoissa.
- Seitsemän Safe-allekirjoittajaa on yhä tunnistamattomia, eikä kukaan ole ilmoittautunut holvin omistajaksi.
- Magalhães arvioi, että bug bounty -ohjelma olisi todennäköisesti pysäyttänyt hyökkäyksen.
Haavoittuvuus oli tunnistettu viikkoa aiemmin, mutta tuntemattomat operaattorit ja epäselvät omistussuhteet estivät valkohattua korjaamasta sitä ajoissa.
Base-lohkoketjussa toimivasta holvista, jonka omistajaa ei tunneta, hävisi noin 6 miljoonan dollarin arvosta wstETH-tokeneita, kun haitallinen sopimus pääsi holvin valkolistalle.
Tietoturvayhtiö Immunefin tapausselvityksen mukaan holviin jäi hyökkäyksen jälkeen vielä noin 32 miljoonaa dollaria.
Hyökkääjä lisäsi usean allekirjoittajan Safe-lompakon kautta haitallisen sopimuksen holvin valkolistalle, kertoi TokenPost. Sopimus nosti sen jälkeen holvista noin 1 800 aBaswstETH-tokenia ja lunasti ne Aave V3:n kautta wstETH:ksi.
Immunefin tietoturvajohtaja Gonçalo Magalhães kertoi crypto.newsille, että holvin tunnistamattomat operaattorit eivät jättäneet valkohattuhakkerille juuri mahdollisuuksia ilmoittaa haavoittuvuudesta ilman oikeudellista riskiä.
Vika ei ollut valkolistassa itsessään. Ongelma oli se, että kun osoite oli kerran hyväksytty, holvi salli sen nostaa varat kokonaan vakuudetta.
– Mikä tahansa valkolistalle hyväksytty osoite pystyi viemään holvin varat täysin vakuudetta, ja juuri se tekee siitä vakavan haavoittuvuuden, hän sanoo.
Haavoittuvuus oli tunnistettu jo edellisellä viikolla, mutta tutkijalla ei ollut selkeää kanavaa ilmoittaa siitä holvin operaattoreille.
Vastuullinen ilmoittaminen
Kun tutkija löytää haavoittuvuuden, vastuullinen ilmoittaminen tarkoittaa yhteydenottoa projektin tiimiin tai bug bounty -ohjelman kautta ennen julkistamista. Jos holvin omistajaa ei tunneta eikä ohjelmaa ole, tutkijalla ei ole tapaa raportoida löydöksestään ilman riskiä joutua itse epäilyksen kohteeksi.
Immunefin toimitusjohtaja Mitchell Amador otti syyskuun lopulla kantaa samaan ongelmaan Liquid Networkiin kohdistuneen hyökkäyksen jälkeen ja kehotti tutkijoita ilmoittamaan löydöt yksityisesti, mieluiten määritellyn bug bounty -ohjelman kautta, sen sijaan että he siirtäisivät käyttäjien varoja ja neuvottelisivat palkkiosta jälkikäteen. Hän kuvasi Immunefin Whitehat Safe Harbor -mallia tapana sopia pelisäännöt etukäteen.
Yli vuorokausi Base-hyökkäyksen jälkeen mikään tiimi ei ollut julkisesti ilmoittanut omistavansa holvin, kertonut menetyksen suuruudesta tai tiedottanut korjaavista toimista. Seitsemän Safe-lompakon allekirjoittajaa pysyi tunnistamattomina.
TokenPostin mukaan holvi ei ollut tehnyt yhtään Safe-transaktiota 25 päivään ennen hyökkäystä. Sivusto piti sosiaalista manipulaatiota ja sisäpiirin osallisuutta mahdollisina selityksinä vahvistamatta kumpaakaan.
– Kun holvin omistaja on tuntematon, valkohattututkija ei voi olla varma siitä, ettei joudu itse oikeudelliseen vastuuseen, Magalhães toteaa.
Hän vaati holvia hallitsevia tahoja tunnistautumaan ja vastaamaan kysymyksiin. Jatkuva vaikeneminen antaa hänen mukaansa aihetta epäilyksille, vaikkei se ole todiste varkaudesta.
– Bug bounty -ohjelma olisi todennäköisesti pysäyttänyt tämän hyökkäyksen, sillä turvallisuusyhteisö olisi luultavasti löytänyt tämän räikeän ongelman älysopimuksesta, Magalhães sanoo.
