Chyba, která sundala Wintermute, je stále na svobodě

Společnost BlockSec zabývající se bezpečnostní infrastrukturou blockchainu potvrdila na Twitteru že adresa nasazení decentralizovaného burzového agregátoru ParaSwap byla zranitelná vůči tomu, co se stalo známým jako zranitelnost vulgárních výrazů.

ParaSwap byl první upozorněn zranitelnosti v úterý brzy ráno poté, co se tým pro zabezpečení ekosystému Web3 Supremacy Inc. dozvěděl, že adresa nasazení byla spojena s několika peněženkami s více podpisy.

Vulgární výrazy byly kdysi jedním z nejpopulárnějších nástrojů používaných ke generování adres peněženek, ale projekt byl kvůli tomu opuštěn zásadní bezpečnostní chyby. 

Naposledy byl globální tvůrce kryptotrhu Wintermute zaskočen 160 milionu $ kvůli podezření na chybu vulgárních výrazů.

Vývojář Supremacy Inc., Zach – který neuvedl své příjmení – řekl Blockworks, že adresy generované Profanity jsou zranitelné vůči hackům, protože ke generování soukromých klíčů používá slabá náhodná čísla.

"Pokud tyto adresy zahájí transakce v řetězci, vykořisťovatelé mohou obnovit své veřejné klíče prostřednictvím transakcí a poté získat soukromé klíče nepřetržitým zpětným pohonem kolizí na veřejných klíčích," řekl Zach v úterý Blockworks přes Telegram.

„Existuje jedno a jediné řešení [tohoto problému], a to převod aktiv a okamžitá změna adresy peněženky,“ řekl.

Po prozkoumání incidentu ParaSwap uvedl, že nebyly nalezeny žádné zranitelnosti, a popřel, že by Profanity vygeneroval svůj nasazovací program.

I když je pravda, že Profanity tento implementer nevygenerovalo, spoluzakladatel BlockSec Andy Zhou řekl Blockworks, že nástroj, který vygeneroval chytrou smlouvu ParaSwap, byl stále ohrožen zranitelností Profanity.

"Neuvědomili si, že k vygenerování adresy použili zranitelný nástroj," řekl Zhou. "Nástroj neměl dostatečnou náhodnost, která umožňovala prolomit adresu soukromého klíče."

Znalost této chyby zabezpečení také pomohla BlockSec získat finanční prostředky. To platilo pro protokoly DeFi BabySwap a TransitSwap, které byly oba napadeny 1. října.

"Podařilo se nám získat finanční prostředky a vrátit je do protokolů," řekl Zhou.

Poté, co si vývojáři BlockSec všimli, že některé útočné transakce byly předem spuštěny botem náchylným k vulgární zranitelnosti, byli schopni zloděje efektivně okrást.

Navzdory své popularitě jako efektivní nástroj pro generování adres, vývojář Profanity varoval na Githubu je zabezpečení peněženky prvořadé. "Kód neobdrží žádné aktualizace a nechal jsem ho v nekompilovatelném stavu," napsal vývojář. "Použij něco jiného!"

Zúčastnit se DAS: LONDÝN a poslechněte si, jak největší TradFi a krypto instituce vidí budoucnost institucionálního přijetí kryptoměn. Registrovat zde.