Август стал большим месяцем для хакерских атак, поскольку в сети Poly Network была проведена одна из крупнейших хакерских атак в истории криптовалют, приведшая к странным результатам.
Кибератака на Поли Сеть попал в заголовки газет благодаря нескольким причудливым поворотам и головокружительным поворотам. Можно подумать, что ограбить криптовалютные биржи проще, чем ограбить банк.
Крупные кражи криптовалют, похоже, растут. Однако важно отметить, что эти децентрализованные технологии все еще развиваются с момента их создания. Как и в любой системе, когда обнаруживаются уязвимости, они устраняются.
Сага о Poly Network
Poly Network, несомненно, стала крупнейшим хакерским скандалом в этом месяце.
Хакер нашел уязвимость в цифровых контрактах. Это то, что Poly Network использует для перемещения криптоактивов между различными цепочками. Благодаря этому они проникли внутрь.
Затем они приступили к осуществлению монументального ограбления криптовалюты в трех цепочках. Эфириум, Binance и Polygon Network пострадали. Они выкачали более 600 миллионов долларов из децентрализованного финансирования (Defi) Платформа.
Более того, во время этой атаки злоумышленник сохранял публичное присутствие. Они даже зашли так далеко, что опубликовать вопросы и ответы который утверждал, что нападение было «ради забавы".
Однако истинные мотивы кражи денег не ясны. Это потому что их оправдания довольно противоречивы и сбивают с толку. В своих вопросах и ответах они утверждают, что взяли токены «чтобы сохранить их в безопасности».
Они утверждали, что взяли деньги, чтобы не дать инсайдерам сети Poly Network обнаружить уязвимость. Однако вместо того, чтобы это исправить, они решили взять деньги.
Похоже, они взяли на себя ответственность беспокоиться об уязвимости. Затем они сосредоточили свое внимание на ограблении Defi платформу, пытаясь найти лучший способ незаметно отмыть деньги.
Однако злоумышленник совершал шумные транзакции под пристальным вниманием криптосообщества. Это наблюдалось в публичном блокчейне. Они даже купили Cryptopunk NFT за 42,000 ETC, цифра, которая стоит более 180 миллионов долларов.
Необычный хакерский ход
Странно то, что в итоге они вернули 550 миллионов долларов из украденных денег. Вторую половину хакер на время прикарманил, несмотря на попытку объяснить, что вторжение было осуществлено с благими намерениями.
В Тема TwitterPoly Network заявила: «Мы призываем майнеров затронутых блокчейнов и криптовалютных бирж внести в черный список токены, поступающие с вышеуказанных адресов… Мы предпримем юридические действия и призываем хакеров вернуть активы».
Tether, который управляет stablecoin доллар США, ответ к призыву внести в черный список адреса, используемые злоумышленником.
Пока это происходило, другой пользователь криптовалюты по имени Ханаширо отправил сообщение пустая транзакция Ethereum злоумышленнику с советом помочь хакеру маневрировать в меняющейся ситуации, говоря: «не используйте свой токен USDT, вы [sic] в черном списке».
Через полчаса злоумышленник ответил Ханаширо, отправив в знак благодарности 13.37 ETH на сумму около $57,000 XNUMX. Затем Ханисиро отправил часть средств благотворительным организациям.
Члены сообщества поддерживают хакера
Слух об этом платеже распространился как лесной пожар. Это вызвало «золотую лихорадку» в сети Ethereum.
Потенциальные сообщники начали отправлять сообщения на аккаунт злоумышленника, предлагая ему советы о том, как отмыть деньги, и просьбы о благотворительных пожертвованиях.
Поли Сеть заявил что они будут возбуждать судебные иски против злоумышленника, заявив, что «правоохранительные органы любой страны будут расценивать это как серьезное экономическое преступление, и вас будут преследовать».
Поскольку ситуация обострилась из-за невозвращенных средств, Poly Network затем предложил злоумышленнику 500,000 XNUMX долларов за обнаружение уязвимости.
Хакер им отказал. В конце концов, у них было около полумиллиарда долларов украденных активов.
Где-то между тем, как Poly Network убеждала хакера вернуть деньги, и тем, как они в конечном итоге были возвращены, Poly Network предложила злоумышленнику работу в качестве своего нового руководителя. Безопасность Советник, который также был отклонен.
«После общения с г-ном Уайт Хэтом мы также пришли к более полному пониманию того, как развивалась ситуация, а также первоначальных намерений г-на Уайт Хэта», — сообщила Poly Network в своем сообщении. заявление, где они называют злоумышленника этим прозвищем.
Отслеживание взломов
Однако это не конец истории. SlowMist, компания, занимающаяся безопасностью экосистемы блокчейнов, смогла успешно распутать нить, ведущую к хакеру.
Они сделали это, демаскируя свой почтовый ящик, IP-адрес и отпечаток пальца устройства с помощью отслеживания внутри и вне цепочки.
С помощью технического помощника партнера SlowMist Hoo Tiger Symbol и нескольких участвующих бирж команда безопасности SlowMist смогла убедиться, что первоначальный источник криптовалюты злоумышленника былMonero (XMR).
Затем они перевели средства в BNB, ETH и MATIC на бирже. После этого они вывели средства на несколько адресов, а затем запустили взломы трёх бирж.
Шквал активности в блокчейне облегчил ее отслеживание. Однако они пришли к выводу, что злоумышленник тщательно исследовал, спланировал и организовал взлом, прежде чем он был осуществлен.
Больше хаков, другая жертва
Следующее событие, развернувшееся в этой саге, произошло от Fetch.ai, лаборатории искусственного интеллекта, расположенной в Кембридже, которая просил что Binance работает над выявлением и отслеживанием действий хакера после того, как 6 июня хакер взломал их учетные записи в криптовалюте.
Сеть ограничила учетные записи злоумышленника. Таким образом, они не могут вывести активы. Следовательно, как сообщается, злоумышленник продал эти средства третьей стороне в течение часа.
Fetch.ai потребовал от Binance заблокировать счета злоумышленников на бирже. Проблема еще больше усугубилась тем, что Верховный суд удовлетворил запросы, чтобы инцидент можно было полностью расследовать и разрешить по законным каналам.
В сообщениях указывается, что Binance выполнит постановления суда. Тем не менее, они не смогут добиваться судебного приказа о взыскании, пока не предоставят доказательства того, что они стали жертвами по этому делу.
«Нам необходимо развеять миф о том, что криптоактивы анонимны. Реальность такова, что при наличии правильных правил и приложений их можно отслеживать, отслеживать и восстанавливать», — сказал Сайдур Рахман, партнер Rahman Ravelli, представляющий Fetch.ai.
Бинанс уже был под огнем поскольку финансовые учреждения по всему миру внимательно изучают обмен. Великобритания, как и ряд других стран, выступила с предостережениями относительно использования биржи. Между тем, другие вообще ввели запреты.
Японская Liquid Crypto взломана
Poly Network была не единственным инцидентом безопасности в августе. Ликвидная крипта. Злоумышленники также атаковали японскую криптобиржу, базирующуюся в Токио. Они направили 97 миллионов долларов в криптовалютах, включая BTC, ETH, TRX иXRP. Хакеры атаковали горячие кошельки.
Liquid Crypto ответил поговорка он временно переводит все активы в автономный режим в кошельки холодного хранения. Кроме того, они приостановили все транзакционные услуги.
Биржа сообщила, что «в настоящее время отслеживает движение активов и работает с другими биржами над заморозкой и возвратом средств».
Согласно сообщению в блоге, компания объяснены что хакер нацелился на многостороннее вычисление бумажник (МПЦ). MPC используются для хранения и управления криптовалютами сингапурской дочерней компании QUOINE PTE. Однако Liquid Crypto не сделала заявления, объясняющего, как злоумышленникам удалось проникнуть.
«В настоящее время мы проводим расследование и будем предоставлять регулярные обновления. Тем временем депозиты и снятие средств будут приостановлены», — говорится в сообщении биржи. Tweet.
Кроме того, в твитах Liquid Crypto показаны адреса криптовалют, которые использовались хакерами для кражи украденных активов.
Вознаграждение за обнаружение ошибок может предложить решение взломать
В недавнем сообщении в блоге Poly Network сообщила, что запустит программу вознаграждений за обнаружение ошибок в размере 500,000 XNUMX долларов США. Это позволит исследователям и хакерам обнаружить и сообщить о любых уязвимостях в его программном обеспечении.
Согласно вознаграждению за ошибки листинг on Иммунофи, максимальная выплата вознаграждения составляет 100,000 XNUMX долларов США. Учитывая привлекательные стимулы от сотрудничества с позитивными игроками в области кибербезопасности, это можно рассматривать как дополнительный уровень защиты активов.
Удержание плохих игроков позади в гонке по поиску дыр, которые можно использовать, несомненно, является ключевым моментом, когда дело доходит до устранения недостатков. Другой вопрос, кто их найдет первым.
Программа вознаграждения за обнаружение ошибок — это краудсорсинговая инициатива. Он выплачивает вознаграждение лицам, которые находят и сообщают об уязвимостях программного обеспечения, которые могут быть выполнены посредством аудита кода и тестирования на проникновение.
Это позволяет компаниям и представителям индустрии кибербезопасности находить решения до того, как злоумышленники обнаружат их и смогут использовать в своих целях.
Отказ от ответственности
Вся информация, содержащаяся на нашем веб-сайте, публикуется добросовестно и только для общих информационных целей. Любые действия, которые читатель предпринимает в отношении информации, размещенной на нашем веб-сайте, совершаются исключительно на свой страх и риск.
Источник: https://beincrypto.com/bug-bounties-a-possible-solution-to-cryptocurrency-exchange-hacks/