Įsilaužėliai vėl taikėsi į kriptovaliutų sektorių: vėlų penktadienį užgrobę daugiau nei tuziną DeFi projektų svetainių jie pasinaudojo jomis tam, kad ištuštintų lankytojų kriptovaliutų pinigines.
Remiantis viešais domenų registrų įrašais, visos 12 užgrobtų svetainių buvo registruotos per tą patį registratorių – Name.com. Kaip skelbia „The Block“, pagal blokų grandinės duomenis kol kas pavyko atsekti apie 138 000 JAV dolerių vertės pavogtų lėšų.
Saugumo bendrovė „Blockaid“ nurodė, kad dalis užgrobtų svetainių buvo „užminuotos“ kenkėjišku įrankiu „Step Drainer“. Tokie vadinamieji „draineriai“ apgauna vartotoją, kad šis pats patvirtintų operaciją, suteikiančią užpuolikams teisę pervesti lėšas iš prijungtos piniginės.
Šeštadienį 10 iš šių domenų buvo laikinai sustabdyti registratoriaus lygmeniu – jiems suteiktas „client hold“ statusas, todėl adresai kuriam laikui neberesolvinosi. Tarp minimų projektų – „Pickle Finance“, „Origami Finance“, „FluxBeam“, „Echelon“, „StonkFun“ ir „StakePoint“.
Kaip veikė ataka ir kas nukentėjo
Pasak „Blockaid“, užpuolikai siekė, kad vartotojai, prisijungę piniginę prie svetainės, patvirtintų pervedimus į piktavalių valdomus adresus. Tokiu būdu lėšos gali būti išsiurbtos net ir be „tikrojo“ projekto išmaniųjų sutarčių pažeidimo.
Patys projektai viešai akcentavo, kad jų onchain sutartys nebuvo paliestos – ataka daugiausia susijusi su svetainių „front-end“ dalimi ir domenų/DNS infrastruktūra. Vis dėlto tikras nuostolių mastas gali būti didesnis, nes ne visų tinklų duomenis lengva atsekti vienu būdu.
Nukentėjusiųjų skaičius kol kas neįvardytas. Tačiau, remiantis viešais duomenimis, vien „BNB Chain“ tinkle užfiksuota bent keli atvejai, kai atskiri piniginių adresai pervedė lėšas užpuolikams.
Įtarimai dėl infrastruktūros: Name.com ir „Vercel“
Socialiniame tinkle X vartotojai greitai atkreipė dėmesį į bendrą vardiklį – tą patį domenų registratorių. Name.com viešai iš pradžių apsiribojo raginimu pildyti piktnaudžiavimo formą, o vėliau pareiškė identifikavusi neteisėtą veiklą, kuri esą nukreipė dalį per platformą registruotų domenų.
Vėlesniame komentare Name.com teigė, kad paveikta buvo 15 klientų domenų – daugiau, nei iš pradžių įvardijo „Blockaid“. Bendrovė nurodė atkūrusi domenus ir dirbanti ties tyrimu bei papildomu paskyrų saugumu.
Tuo metu dalis projektų (tarp jų „Kintsu“ ir „Origami Finance“) viešai užsiminė apie galimą ryšį su debesijos infrastruktūros bendrove „Vercel“, kuri teikia domenų ir diegimo sprendimus. „Vercel“ savo saugumo biuletenyje pažymėjo, kad 10 paveiktų domenų buvo susieti su jos platforma, o Name.com juos atkūrė ir abi įmonės padeda tyrimui.
Ką tokios atakos reiškia vartotojams
Tokio tipo incidentai primena, kad net ir „saugios“ kripto paslaugos gali tapti pavojingos, jei kompromituojamas jų tinklalapis ar domenų valdymas. Vartotojui tai dažnai atrodo kaip įprastas prisijungimas prie projekto svetainės, tačiau vienas patvirtinimas piniginėje gali atverti kelią lėšų perėmimui.
Name.com taip pat ragino klientus peržiūrėti savo DNS įrašus ir įjungti dviejų veiksnių autentifikavimą. Panašios atakos prieš kripto projektų „front-end“ ir DNS infrastruktūrą yra fiksuotos ir anksčiau – tai viena dažniausių schemų, kai siekiama apeiti išmaniųjų sutarčių saugumo barjerus per vartotojo patvirtinimus.