Інцидент злому Multichain

21 February 17:51

[Основні тези]

Multichain, раніше Anyswap, — це «крос-блокчейн-протокол маршрутизатора» (CRP), призначений для оптимізації обміну цифровими токенами для користувачів між блокчейнами, одночасно знижуючи комісію за транзакції. Однак стався випадок крадіжки в Multichain Bridge через проблему кібербезпеки, викликану вразливістю в мережі. Незважаючи на те, що Multichain швидко усунув уразливість, користувачі, які раніше надали дозволи на шість конкретних токенів, все ще знаходяться під загрозою. Продовжуйте читати, щоб дізнатися більше про інцидент!

Як було зламано протокол Multichain CRP?

Через вразливість у мережі хакери використали Multichain «протокол міжланцюгового маршрутизатора».

Перед атакою Multichain оголосив, закликаючи користувачів відкликати всі дозволи, надані 6 різним токенам, щоб захистити свої активи від зловмисного використання через виявлену помилку в мережі. Це були токени (WETH «Wrapped Ethereum» PERI finance, OMT «офіційний токен Mars», «AVAX «Avalanche, «WBNB «Wrapped BNB» і MATIC «Polygon». )

Пізніше протокол оголосив, що вразливість усунуто, але коли вони отримали звіт про те, що помилка була використана, а вкрадені кошти становили 1,34 мільйона доларів, фірма знову нагадала своїм користувачам відкликати дозволи та продовжила закріплювати посилання на пост Медіум у своєму обліковому записі Twitter, де описано, як видалити дозволи.

Мультичейн у Twitter

Це оголошення спонукало хакерів використати вразливість, і ситуація почала загострюватися, що призвело до постійного збільшення викрадених коштів. Атака все ще триває, і вона не вщухне, поки є люди, які не скасували свої попередні дозволи.

Пізніше аналітик з кібербезпеки Тал Беері розповів у Twitter про те, як Multichain впоралися з уразливістю, стверджуючи, що оприлюднення проблеми перед тим, як повністю попередити користувачів, підштовхнуло хакерів і спонукало їх почати вимагати кошти.

Пізніше Біері створив інформаційну панель dune analytics для моніторингу атаки та повідомив у своїх нещодавніх твітах, що вкрадені кошти зараз зросли приблизно до 4,6 мільйонів доларів. Хоча, користувач, який втратив $960 тис., запропонував хакеру 50 ETH в обмін на решту коштів. Пізніше хакер повернув 259 ETH, що становить приблизно 813 тисяч доларів, і залишив решту 150 тисяч доларів як чайові за повернення грошей.

Були й інші великі атаки з початку експлуатації 18 січня, причому перша атака призвела до втрати 456 ETH (1,1 мільйона доларів), друга атака була ще 433 ETH (1 мільйон доларів), але 320 ETH (780 000 доларів) повернулися після розмови з жертвою, тоді як третя атака призвела до втрати 391 ETH ($943 000), а також інші незначні атаки, які датуються сьогодні.

Dune Analytics

Загалом через атаки було втрачено 1778 ETH (4,6 мільйона доларів США), тоді як близько 320 ETH (780 000 доларів США) було повернено. Фірма безпеки блокчейну PeckShield також ідентифікувала адресу, на якій зберігається 455 ETH у вигляді вкрадених коштів, що приблизно дорівнює 1 мільйон доларів. Після цього Multichain звернувся до зловмисників і запропонував їм викуп — «нагороду за роботу», як зазначено в нещодавніх твітах Беері.

Тим часом жертви все ще в паніці, оскільки цікавляться, чи поверне фірма їм гроші. Також є скарги, що хакери видають себе за фірму, щоб вкрасти ще більше грошей у користувачів. Однак Multichain досі не прокоментувала всю ситуацію і згодом вимкнув розділ коментарів у своєму обліковому записі Twitter.

Пізніше компанія Dedaub (фірма безпеки блокчейну, яка раніше повідомила Multichain про вразливість) опублікувала звіт. У дописі Medium Дедауб підтвердив, що «431 мільйон доларів США в WETH могли бути викрадені в одній транзакції лише з трьох облікових записів жертв, якби вразливість була повністю використана». Ризик в інших мережах, наприклад Binance Smart Chain, Polygon, Avalanche, і Fantom, включаючи інші загорнуті токени, також оцінили в 40 мільйонів доларів». Насправді «потенційний вплив (якби вразливість було повністю використано) міг би бути в діапазоні мільярдів доларів.— Дедауб.

Автор: Gate.io Спостерігач: М. Олатунджі

Відмова від відповідальності:

* Ця стаття представляє лише погляди спостерігачів і не містить інвестиційних пропозицій.

*Gate.io залишає за собою всі права на цю статтю. Повторне розміщення статті буде дозволено за умови посилання на Gate.io. У всіх інших випадках через порушення авторських прав буде подано судовий позов.