Turvallisuustapaus Solana-ekosysteemissä
Äskettäinen turvallisuustapaus on herättänyt huolta Solana-ekosysteemissä, kun käyttäjä menetti yli 3 miljoonaa dollaria monimutkaisessa phishing-hyökkäyksessä. Tapaus paljasti vähän tunnetun riskin Solanan tilirakenteessa ja osoitti, kuinka hyökkääjät voivat muuttaa lompakkolupia ilman näkyvää muutosta allekirjoituksen aikana.
SlowMist raportoi, että hyökkääjä sai hallintaansa lompakon muokkaamalla sen omistajuuslupaa harhaanjohtavan allekirjoituspyynnön kautta.
Siirrossa ei ollut näkyvää saldoa, mikä vähensi epäilyksiä. Lisäksi monet Solana-käyttäjät olettavat, että heidän tilinsä omistajuus toimii kuten Ethereumin EOAt, joten he eivät odota omistajuuden muuttuvan yhdellä allekirjoituksella. Tämä väärinkäsitys luo tilaa hyökkääjille, jotka suunnittelevat siirtoja, jotka näyttävät harmittomilta, mutta toteuttavat korkean riskin operaatioita.
Solanan tilirakenteet ja riskit
Asiantuntijat huomauttavat myös, että Solana käyttää useita tilityyppejä, mukaan lukien normaalit tilit ja PDA:t. Token-tilit toimivat sääntöjen mukaan, joita niiden token-ohjelma valvoo. Nämä rakenteet parantavat tehokkuutta, mutta tuovat mukanaan lisää alueita, joita hyökkääjät voivat kohdistaa.
Merkittävästi, äskettäinen tapaus sisälsi useita lupien manipulointikerroksia, jotka mahdollistivat hyökkääjän ohjata varoja useiden alustojen ja osoitteiden kautta. Tutkijat MistTrackissa jäljittivät hyökkääjän liikkeitä ja löysivät nopeita, monialustaisia varojen kiertoja. Reitti sisälsi cross-chain-syklejä, CEX-talletuksia ja DeFi-varojen uudelleenkäyttöä.
Lisäksi kaksi suurta lompakkokeskusta käsitteli suurimman osan siirroista, mikä osoitti kaavan, joka on nähty muissa edistyneissä rahanpesusuunnitelmissa.
Uhri oli myös lukinnut toiset 2 miljoonaa dollaria DeFi-alustoille. Asiaankuuluvat protokollatiimit auttoivat näiden varojen palauttamisessa, mikä osoitti nopean raportoinnin arvon.
Turvallisuusvinkit käyttäjille
Turvallisuusyritykset korostavat varovaisuutta. Käyttäjien tulisi:
- Tarkistaa URL-osoitteet
- Vahvistaa siirtotiedot
- Välttää vuorovaikutusta tuntemattomien linkkien kanssa
- Ylläpitää erillisiä lompakoita korkean riskin toiminnoille
- Säilyttää arvokkaat varat offline-tilassa
- Välttää rajoittamattomia hyväksyntöjä
- Tarkistaa jokainen lupapyyntö huolellisesti
