Sierpień był wielkim miesiącem pod względem hacków, ponieważ jeden z największych w historii kryptowalut został przeprowadzony w sieci Poly, z dziwnymi skutkami.
Cyberatak na Sieć poli trafił na pierwsze strony gazet z kilkoma dziwacznymi zwrotami akcji i drapiącymi się po głowie zwrotami akcji. Można sobie wyobrazić, że plądrowanie giełd kryptowalut jest łatwiejsze niż okradanie banku.
Kradzieże kryptowalut o wysoką stawkę wydają się rosnąć. Należy jednak podkreślić, że te zdecentralizowane technologie wciąż ewoluują od momentu ich powstania. Jak w przypadku każdego systemu, gdy zostaną wykryte luki, zostaną one naprawione.
Saga Poly Network
Sieć Poly była niewątpliwie największym skandalem hakerskim w tym miesiącu.
Haker znalazł plik luki w umowach cyfrowych. Tego właśnie używa sieć Poly do przenoszenia zasobów kryptograficznych między różnymi łańcuchami. Dzięki temu udało im się dostać do środka.
Następnie przystąpili do monumentalnego napadu na kryptowaluty w trzech łańcuchach. Ethereum, Binance i Polygon Network zostały zaatakowane. Wysunęli ponad 600 milionów dolarów ze zdecentralizowanych finansów (DeFi) Platforma.
Co więcej, podczas ataku osoba atakująca była obecna publicznie. Posunęli się nawet tak daleko, że opublikuj pytania i odpowiedzi który twierdził, że atak był „dla zabawy".
Jednak rzeczywiste motywy kradzieży pieniędzy nie są jasne. To dlatego, że ich uzasadnienia są raczej sprzeczne i mylące w przestrzeganiu. W swoich pytaniach i odpowiedziach twierdzą, że zabrali tokeny „aby zapewnić bezpieczeństwo”.
Zarzucali, że zabrali pieniądze, aby uniemożliwić osobom z sieci Poly znalezienie luki. Jednak zamiast to naprawić, postanowili wziąć pieniądze.
Wyglądało na to, że zamartwianie się luką w zabezpieczeniach stało się ich obowiązkiem. Następnie skupili się na okradaniu DeFi platformę, próbując znaleźć najlepszy sposób na wypranie pieniędzy w sposób niezauważony.
Jednak atakujący dokonał hałaśliwych transakcji pod czujnym okiem społeczności kryptograficznej. Zaobserwowano je na publicznym blockchainie. Kupili nawet Cryptopunk NFT 42,000 ETC, kwotę wartą ponad 180 milionów dolarów.
Niezwykły ruch hakera
Dziwne jest to, że ostatecznie zwrócili skradzione pieniądze w wysokości 550 milionów dolarów. Haker na jakiś czas schował drugą połowę do kieszeni, mimo że próbował wyjaśnić, że włamania dokonano w dobrych intencjach.
W Wątek na Twitterze, Poly Network powiedział: „Wzywamy górników dotkniętych giełd blockchain i kryptowalut, aby umieścili na czarnej liście tokeny pochodzące z powyższych adresów… Podejmiemy działania prawne i nalegamy, aby hakerzy zwrócili aktywa”.
Pęta, który obsługuje stablecoin USDT, odpowiedzi na wezwanie do umieszczenia na czarnej liście adresów używanych przez osobę atakującą.
Kiedy to miało miejsce, inny użytkownik kryptowaluty o imieniu Hanashiro dostarczył wiadomość pusta transakcja Ethereum atakującemu z radą, jak pomóc hakerowi manewrować w zmieniającym się krajobrazie, mówiąc: „nie używaj swojego tokena USDT, jesteś [sic!] na czarnej liście”.
Intruz odpowiedział Hanashiro pół godziny później, przesyłając w dowód wdzięczności 13.37 ETH o wartości około 57,000 XNUMX dolarów. Następnie Hanishiro wysłał część środków organizacjom charytatywnym.
Członkowie społeczności wspierają hakera
Wieść o tej płatności rozeszła się po całym kraju i rozprzestrzeniła się lotem błyskawicy. Wywołało to „gorączkę złota” w sieci Ethereum.
Niedoszli wspólnicy zaczęli wysyłać wiadomości na konto używane przez napastnika, oferując im porady, jak wyprać pieniądze, w zamian za prośby o datki na cele charytatywne.
Sieć poli stwierdził, że podejmą kroki prawne przeciwko napastnikowi, stwierdzając, że „organy ścigania w każdym kraju uznają to za poważne przestępstwo gospodarcze i będziesz ścigany”.
W miarę jak sytuacja narastała z powodu niezwróconych środków, sieć Poly Network zaoferował intruzowi 500,000 XNUMX dolarów za odkrycie luki.
Haker je odrzucił. W końcu trzymali skradzione aktywa o wartości blisko pół miliarda dolarów.
Gdzieś pomiędzy namawianiem hakera do zwrotu pieniędzy przez sieć Poly a ich ostatecznym zwrotem, Poly Network zaoferowała intruzowi pracę na stanowisku nowego szefa Bezpieczeństwo Doradcy, który również został odrzucony.
„Po rozmowie z panem White Hat doszliśmy również do pełniejszego zrozumienia rozwoju sytuacji, a także pierwotnych zamiarów pana White Hata” – podano w raporcie Poly Network. oświadczenie, gdzie odnoszą się do intruza pod tym pseudonimem.
Śledzenie hacków
To jednak nie koniec historii. SlowMist, firma zajmująca się bezpieczeństwem ekosystemu blockchain, była w stanie pomyślnie rozwikłać wątek prowadzący do hakera.
Dokonali tego poprzez demaskowanie ich skrzynki pocztowej, adresu IP i odcisku palca urządzenia za pomocą śledzenia w łańcuchu i poza nim.
Dzięki pomocy technicznej partnera SlowMist, Hoo Tiger Symbol, oraz wielu uczestniczącym giełdom, zespół ds. bezpieczeństwa SlowMist był w stanie ustalić, że początkowym źródłem kryptowalut atakującego byłoMonero (XMR).
Następnie przekazali środki do BNB, ETH i MATIC na giełdzie. Następnie wycofali środki na kilka adresów, a następnie przeprowadzili ataki hakerskie na trzech giełdach.
Gwałtowność działań na blockchainie ułatwiła ich śledzenie. Doszli jednak do wniosku, że atakujący dokładnie zbadał, zaplanował i zorganizował włamanie, zanim zostało ono wykonane.
Więcej hacków, inna ofiara
Kolejne wydarzenie, które miało miejsce w tej sadze, miało miejsce w Fetch.ai, laboratorium sztucznej inteligencji zlokalizowanym w Cambridge, które wniosek że Binance pracuje nad identyfikacją i śledzeniem ruchów hakera po tym, jak haker włamał się na jego konta kryptowalutowe 6 czerwca.
Sieć ograniczyła konta atakującego. Uniemożliwiając im w ten sposób wycofanie aktywów. W rezultacie napastnik według doniesień sprzedał te środki osobie trzeciej w ciągu godziny.
Fetch.ai zażądało od Binance zablokowania kont intruza na giełdzie. Aby jeszcze bardziej skomplikować sprawę, Sąd Najwyższy uwzględnił wnioski, aby incydent mógł zostać w pełni zbadany i rozwiązany kanałami prawnymi.
Z doniesień wynika, że Binance zastosuje się do nakazów sądu. Niemniej jednak nie będą mogli ubiegać się o nakaz odzyskania środków, dopóki nie przedstawią dowodów potwierdzających, że byli ofiarami w tej sprawie.
„Musimy obalić mit, że kryptowaluty są anonimowe. Rzeczywistość jest taka, że przy zastosowaniu odpowiednich zasad i aplikacji można je śledzić, namierzać i odzyskiwać” – powiedział Syedur Rahman, partner w Rahman Ravelli reprezentujący Fetch.ai.
Binance już było pod ostrzałem ponieważ instytucje finansowe na całym świecie przyglądają się tej giełdzie. Wielka Brytania wraz z kilkoma innymi krajami wydała ostrzeżenia dotyczące korzystania z giełdy. Tymczasem inni w ogóle wprowadzili zakazy.
Naruszenie japońskiego Liquid Crypto
Sieć Poly nie była jedynym sierpniowym incydentem związanym z bezpieczeństwem. Płynne kryptowaluty. Podmioty zagrażające zaatakowali także japońską giełdę kryptowalut z siedzibą w Tokio. Przekazali 97 milionów dolarów w kryptowalutach, w tym BTC, ETH, TRX iXRP. Celem hakerów były gorące portfele.
Odpowiedzią na Liquid Crypto było: powiedzenie tymczasowo przenosi wszystkie zasoby offline do portfeli chłodniczych. Ponadto zawiesili wszystkie usługi transakcyjne.
Giełda podała, że „obecnie śledzi ruch aktywów i współpracuje z innymi giełdami w celu zamrożenia i odzyskania środków”.
Jak wynika z wpisu na blogu, firma wyjaśnione że haker obrał za cel obliczenia wielostronne portfel (MPK). MPC służą do przechowywania i zarządzania kryptowalutami spółki zależnej Singapuru, QUOINE PTE. Jednak Liquid Crypto nie wydało oświadczenia wyjaśniającego, w jaki sposób intruzom udało się włamać.
„Obecnie prowadzimy dochodzenie i będziemy regularnie dostarczać aktualizacje. W międzyczasie wpłaty i wypłaty zostaną zawieszone” – podała giełda w oświadczeniu ćwierkać.
Ponadto tweety Liquid Crypto pokazują adresy kryptowalut, które zostały wykorzystane przez hakerów do eksfiltracji skradzionych aktywów.
Rozwiązaniem mogą być nagrody za błędy do hacków
W niedawnym poście na blogu firma Poly Network poinformowała, że uruchomi program nagród za błędy o wartości 500,000 XNUMX dolarów. Umożliwi to badaczom i hakerom odkrycie i zgłoszenie wszelkich luk w jego oprogramowaniu.
Według nagrody za błąd wymienianie kolejno on Odpornymaksymalna wypłata nagrody wynosi 100,000 XNUMX dolarów. Dzięki atrakcyjnym zachętom wynikającym ze współpracy z pozytywnymi podmiotami w dziedzinie cyberbezpieczeństwa można to postrzegać jako dodatkową warstwę ochrony aktywów.
Zatrzymanie złych aktorów w wyścigu w poszukiwaniu luk, które można wykorzystać, jest niewątpliwie kluczowe, jeśli chodzi o radzenie sobie z niedoskonałościami. Kto pierwszy je znajdzie, to inna sprawa.
Program nagród za błędy to inicjatywa crowdsourcingowa. Rekompensuje osobom, które znajdują i zgłaszają luki w oprogramowaniu, co można przeprowadzić poprzez audyty kodu i testy penetracyjne.
Dzięki temu firmy i przedstawiciele branży cyberbezpieczeństwa mogą znaleźć rozwiązania, zanim cyberprzestępcy odkryją je i wykorzystają dla własnej korzyści.
Odpowiedzialność
Wszystkie informacje zawarte na naszej stronie internetowej są publikowane w dobrej wierze i wyłącznie w ogólnych celach informacyjnych. Wszelkie działania podejmowane przez czytelnika w związku z informacjami znajdującymi się na naszej stronie internetowej odbywają się wyłącznie na własne ryzyko.
Źródło: https://beincrypto.com/bug-bounties-a-possible-solution-to-cryptocurrency-exchange-hacks/