Kryptovaluutta-alan haavoittuvuus
Jill Gunter, Espresso-yhtiön perustaja, raportoi torstaina, että hänen kryptolompakkonsa tyhjennettiin Thirdweb-sopimuksen haavoittuvuuden vuoksi. Hän kertoi asiasta sosiaalisessa mediassa julkaisemissaan lausunnoissa.
Gunter, joka on toiminut kryptovaluutta-alalla yli kymmenen vuotta, ilmoitti, että yli 30 000 dollaria USDC-stablecoinia varastettiin hänen lompakostaan. Varat siirrettiin Railgun-yksityisyysprotokollaan, kun hän valmisteli esitystä kryptovaluuttojen yksityisyydestä Washington D.C.:ssä.
Varkauden yksityiskohdat
Seuraavassa päivityksessään Gunter kertoi varkauden tutkinnasta tarkemmin. Transaktio, joka tyhjensi hänen jrg.eth-osoitteensa, tapahtui 9. joulukuuta, ja tokenit oli siirretty osoitteeseen edellisenä päivänä odotettaessa enkelisijoituksen rahoittamista, joka oli suunniteltu tälle viikolle.
Vaikka tokenit siirrettiin jrg.eth-osoitteesta toiseen osoitteeseen, joka oli merkitty 0xF215, transaktio osoitti sopimusvuorovaikutusta 0x81d5:n kanssa, Gunterin analyysin mukaan. Hän tunnisti haavoittuvan sopimuksen Thirdwebin silta-sopimukseksi, jota hän oli aiemmin käyttänyt 5 dollarin siirtoon.
Haavoittuvuuden vaikutukset
Thirdweb ilmoitti Gunterille, että haavoittuvuus oli löydetty sillan sopimuksesta huhtikuussa. Haavoittuvuus mahdollisti kenelle tahansa pääsyn käyttäjien varoihin, jotka olivat hyväksyneet rajattomat token-oikeudet. Sopimus on sittemmin merkitty vaarantuneeksi Etherscanissa, lohkoketjun tutkijassa.
”En tiedä, saanko korvauksen, ja tällaiset riskit ovat ammatillinen vaara kryptovaluutta-alalla.”
Gunter lupasi lahjoittaa kaikki palautetut varat SEAL Security Alliance -järjestölle ja kannusti muita harkitsemaan lahjoituksia myös.
Thirdwebin toimenpiteet
Thirdweb julkaisi blogikirjoituksen, jossa todettiin, että varkaus johtui perintösopimuksesta, jota ei ollut asianmukaisesti poistettu käytöstä huhtikuun 2025 haavoittuvuusvastauksessa. Yhtiö ilmoitti, että se on pysyvästi poistanut perintösopimuksen käytöstä eikä käyttäjien lompakoita tai varoja ole enää vaarassa.
Haavoittuvan sillan sopimuksen lisäksi Thirdweb paljasti laajalle levinneen haavoittuvuuden myöhään vuonna 2023 yleisesti käytetyssä avoimen lähdekoodin kirjastossa.
Turvallisuustutkija Pascal Caversaccio SEALista kritisoi Thirdwebin paljastusmenetelmää, todeten, että haavoittuvien sopimusten luettelon tarjoaminen antoi pahantahtoisille toimijoille ennakkovaroituksen. ScamSnifferin, lohkoketjun turvallisuusyrityksen, analyysin mukaan yli 500 token-sopimusta vaikutti vuoden 2023 haavoittuvuuteen, ja ainakin 25 niistä hyväksikäytettiin.
