Wintermute Hack za 160 milionů dolarů se stává pátým největším zneužitím DeFi v roce 2022

CEO Wintermute, Evgeny Gaevoy potvrdil, že multimiliónový hack Wintermute byl spojen s kritickou chybou v Ethereum nástroj pro generování marnivých adres s názvem vulgární výrazy.

Wintermute, tvůrce trhu s algoritmy kryptoaktiv, byl v úterý hit za 160 milionů dolarů DeFi operace, řekl Gaevoy. Bylo odcizeno více než 90 majetku různých hodnot, dodal.

Hack přijde několik dní poté 1inch označeno Vulgární adresy generované jako vysoce rizikové.

Vulgární výrazy jsou nástroj, který uživatelům Etherea umožňuje vytvářet „marnostní adresy“ – personalizované peněženka adresy, které obsahují zprávy čitelné pro člověka, což usnadňuje přenosy.

Chyba vulgárních výrazů vede k narušení peněženky

Dříve, Binance CEO, Changpeng Zhao posted na Twitteru, že exploit Wintermute vypadal „jako vulgární výrazy“, ale nevysvětlil jak.

"Pokud jste v minulosti používali marnivé adresy, možná budete chtít přesunout tyto prostředky do jiné peněženky," varoval.

Hlavní informace o polygonu zabezpečení důstojník Mudit Gupta potvrdil obvinění důkazy.

"Rychle jsem se podíval a můj nejlepší odhad je, že to byl kompromis v podobě horké peněženky kvůli chybě vulgárních výrazů, která byla veřejně odhalena před několika týdny," řekl Gupta v prohlášení. blog post.

„Sejf umožňuje tyto převody provádět pouze administrátorům a Wintermuteova horká peněženka je podle očekávání administrátorem. Smlouvy tedy fungovaly podle očekávání, ale samotná adresa správce byla pravděpodobně ohrožena,“ řekl a dodal:

„Administrátorská adresa je marnivostní adresa (začíná shlukem nul), která mohla být vygenerována pomocí slavného, ​​ale chybného nástroje pro generování marnostných adres s názvem Profanity.“

Krypto bezpečnostní společnost Čertík také vysvětlila, jak byl útok proveden. "Vykořisťovatel použil privilegovanou funkci s únikem soukromého klíče, aby upřesnil, že swapová smlouva byla smlouvou kontrolovanou útočníkem," uvedl blogový příspěvek.

Předpokládá se, že je nemožné replikovat adresy, ale hackeři našli způsob, jak tyto kódy zpětně vypočítat, a získat tak přístup k milionům dolarů.

CEO Wintermute, Evgeny Gaevoy později potvrdil, že hack byl spojen s Profanity. Jevgenij incident rozebral.

„Útok pravděpodobně souvisel s naším zneužitím typu vulgární výrazy DeFi obchodní peněženka. Použili jsme vulgární výrazy a interní nástroj ke generování adres s mnoha nulami vpředu. Naším důvodem byla optimalizace plynu, nikoli „marnost“, jak uvedl v a Twitter podproces.

DEX od té doby „přešel na bezpečnější skript pro generování klíčů“. "Jak jsme se minulý týden dozvěděli o zneužití vulgárních výrazů, urychlili jsme odchod 'starého klíče'," řekl Gaevoy.

Varování ignorováno?

Wintermuteův hack přichází několik dní poté, co DEX agregátor 1inch Network vydal varování, že lidé, jejichž účty jsou připojeny k Profanity, nejsou v bezpečí. Firma objevila zranitelnost v oblíbeném nástroji pro marnivost adres, který ohrozil miliony dolarů v uživatelských penězích.

„Co nejdříve převeďte všechna svá aktiva do jiné peněženky,“ 1 palec Varoval v době, kdy. "Pokud jste použili Profanity k získání adresy chytré smlouvy, nezapomeňte změnit vlastníky této chytré smlouvy."

Vývojář stojící za Profanity, známý na Github jako „johguse“, připustil že nástroj byl ve své současné podobě velmi riskantní.

„Důrazně nedoporučuji používat tento nástroj v jeho současném stavu. Kód neobdrží žádné aktualizace a ponechal jsem jej v nekompilovatelném stavu. Použijte něco jiného!" johguse napsal na Github.

Útok Wintermute není prvním případem, kdy byly kódy zmanipulovány za účelem krádeže uživatelských prostředků. Začátkem tohoto měsíce hackeři stejnou metodou ukradli více než 3.3 milionu dolarů v ETH z několika adres peněženek souvisejících s vulgárními výrazy, podle na krypto detektiva ZachXBT.

Využití Wintermute v hodnotě 160 milionů dolarů z něj dělá pouze pátý největší hack DeFi v roce 2022. Tento exploit zaostává za několika klíčovými exploity v tomto roce, nejvýrazněji za hackem Ronin Bridge za 550 milionů dolarů z března tohoto roku.

Pro nejnovější Be[In]Crypto Bitcoin (BTC) analýza, klikněte zde.

Odmítnutí odpovědnosti

Veškeré informace obsažené na našich webových stránkách jsou publikovány v dobré víře a pouze pro obecné informační účely. Jakákoli akce, kterou čtenář provede na základě informací nalezených na našich webových stránkách, je výhradně na jeho vlastní riziko.