Kyberturvallisuusraportti
Kyberturvallisuusyritys PeckShield raportoi, että hakkeri on aloittanut digitaalisten varojen pesemisen, jotka liittyvät 6,7 miljoonan dollarin varkauteen likviditeettitarjoajalta TrustedVolumes. Uusien tietojen mukaan hakkeri on siirtänyt satojen tuhansien dollarien arvosta Ethereumia (ETH).
”TrustedVolumesin hyväksikäyttäjä on pesemässä 278 000 dollaria varastetuista varoista tähän mennessä: he tallettivat 10,2 ETH:tä (23 600 dollaria) TornadoCashiin ja pesivät 110 ETH:tä (250 000 dollaria) THORChainin kautta BTC:hen. He myös yrittivät tallettaa 0,5 ETH:tä Railguniin, mutta muuttivat mieltään ja lähettivät sen takaisin. TrustedVolumesia hyväksikäytettiin noin 6,7 miljoonalla dollarilla 7. toukokuuta.”
TrustedVolumes ilmoittaa olevansa valmis neuvottelemaan ratkaisusta hakkerin kanssa. Yritys on listannut myös kolme lompakko-osoitetta, joista kaksi sisältää noin 3 miljoonaa dollaria ja yksi 700 000 dollarin arvosta varastettuja kryptovaroja.
”Meitä hyväksikäytettiin äskettäin… Olemme avoimia rakentavalle viestinnälle bugipalkkion ja molempia osapuolia tyydyttävän ratkaisun suhteen.”
Hyökkäyksen taustat
Lohkoketjuturvallisuusyritys QuillAudits kertoo, että hakkeri pystyi tyhjentämään miljoonia dollareita yhdessä transaktiossa hyödyntämällä suunnitteluvirhettä alustan mukautetussa tilaus-settlement-järjestelmässä.
”TrustedVolumes toimii 1inch-markkinatakaajana ja ratkaisijana, tarjoten on-chain likviditeettiä mukautetun Request-for-Quote (RFQ) -proksin kautta. RFQ-mallissa tekijä allekirjoittaa tilaukset etukäteen, tarjoten tietyn hinnan tietylle token-parille. Ottaja esittää tämän allekirjoitetun tarjouksen settlement-sopimukselle, joka vahvistaa allekirjoituksen ja suorittaa vaihdon atomisesti. Järjestelmä perustuu kolmeen takuuseen, jotka toimivat yhdessä: tekijän on oltava valtuuttanut, kuka voi allekirjoittaa tilauksia sen puolesta, jokaisen allekirjoitetun tilauksen on oltava täytetty vain kerran (toistonsuojaus), ja täytön token-lähteen on oltava valtuutetun tekijän oma varasto, ei satunnainen kolmannen osapuolen osoite. TrustedVolumesin toteutuksessa kaikki kolme takuuta epäonnistuivat samanaikaisesti, ja hyökkääjä käytti niitä hyväkseen yhdessä koottussa transaktiossa.”
