Эксплойт Vesting V2 от UNCX выявил ошибку в учете долей, которая позволила злоумышленникам завысить свои требования на объединенные токены, объяснил глава службы безопасности Immunefi после сообщений о потере примерно 1,5 миллиона долларов в четырех сетях.
Краткое содержание
- По словам Магальяйнша, функции вывода и отмены нарушили баланс учета долей.
- Сообщаемые потери достигли примерно 1,5 миллиона долларов в четырех сетях, при участии кошельков-подражателей и ботов.
- Магальяйнш советовал по возможности связываться с затронутыми командами приватно до публичных предупреждений о выводе средств.
- По его словам, провайдеры и пострадавшие проекты несут совместную ответственность за работу над возмещением.
Гонсалу Магальяйнш, глава службы безопасности Immunefi, сообщил crypto.news, что контракт не смог поддерживать согласованность счетчиков долей, когда пользователи выводили vested-токены и отменяли позиции.
Выводы UNCX оставили устаревший счетчик долей
По словам Магальяйнша, слабость началась с функции release контракта, которая позволяет бенефициару выводить токены, ставшие доступными по графику вестинга.
После вывода функция не вычла высвобожденные доли из счетчика позиции, сказал он. Когда функция отмены впоследствии считала это неизмененное значение, она снова вычла невестированную часть, исказив учет пула.
По словам главы службы безопасности, это сочетание завысило стоимость, приписываемую оставшимся долям. Затем злоумышленник мог использовать оставленную в пуле позицию, чтобы вывести больше токенов, чем она должна была получить.
Описывая одну атаку, Магальяйнш сказал, что эксплойтер открыл три вестинговые позиции и пожертвовал двумя через функции вывода и отмены. Оставшаяся позиция стала доступной для вывода, несущего, как он описал, «огромную прибыль».
Он определил центральную ошибку как отсутствие согласованного правила учета во всех функциях контракта.
«В конечном счете, смарт-контракт не смог гарантировать, что никакие функции не смогут нарушить инвариант глобального счетчика долей».
Его объяснение относит слабость к тому, как функции обновляли и повторно использовали балансы долей. Защитой, которую он определил, было правило, гарантирующее, что каждая операция сохраняет точность общего количества долей.
The Crypto Times сообщила 15 октября, что Blockaid оценила потери примерно в 1,49 миллиона долларов в Ethereum, BNB Chain, Base и Robinhood Chain. В ее отчете 11 транзакций по выводу средств были приписаны деятельности, связанной с первоначальным атакующим, кошельками-подражателями и ботами максимальной извлекаемой стоимости, или MEV.
Приватное вмешательство предшествует публичным предупреждениям
На вопрос, как должны реагировать фирмы по безопасности, когда эксплойт остается активным, Магальяйнш сказал, что доступный ответ зависит от протокола и людей, которые могут вмешаться.
«Когда все варианты исчерпаны, остается мало что делать, кроме как публично призвать пользователей немедленно вывести свои средства».
Магальяйнш не представил единого графика раскрытия информации, подходящего для каждого инцидента. Вместо этого его ответ описал последовательность возможных вмешательств, начиная с людей, которые могут остановить атаку или удалить подверженные депозиты.
Отчет от 6 октября о неопознанном хранилище Base описал отдельное препятствие для приватного вмешательства. В том случае, по словам Магальяйнша, исследователь столкнулся с правовой неопределенностью, поскольку операторы хранилища не были идентифицированы и не было четкого канала раскрытия информации. В брифинге об инциденте кража оценивалась примерно в 6 миллионов долларов.
Истории кошельков помогают следователям различать участников
Для следователей, изучающих UNCX, Магальяйнш сказал, что истории транзакций дают отправную точку для отличия первоначального эксплойтера от других участников.
Он сказал, что человек, впервые осуществивший атаку, обычно появляется среди самых ранних участников. У постоянных пользователей есть записи о более ранних взаимодействиях с протоколом, тогда как автоматизированные торговые кошельки могут демонстрировать историю, соответствующую активности бота.
По словам Магальяйнша, следователи могут сравнить более поздние транзакции с последовательностью, использованной первоначальным атакующим. Предыдущий клиент всё ещё мог скопировать эксплойт, поэтому существующие отношения с протоколом не решают вопрос.
«В конечном счёте граница становится размытой, и её трудно провести».
Отдельный инцидент 15 сентября с участием 2 900 rsETH в Ethereum иллюстрирует, почему следователи изучают порядок транзакций. Исследователи безопасности заявили, что бот Yoink выполнился раньше предполагаемого атакующего в том же блоке, в то время как исходная транзакция эксплойта не удалась. Бот получил активы стоимостью примерно 7,8 миллиона долларов на тот момент.
Что касается переговоров о возврате средств, генеральный директор Immunefi Митчелл Амадор учёл иной вопрос авторизации в комментариях о Liquid Network, опубликованных 21 сентября. Он сказал, что исследователям следует использовать закрытые каналы раскрытия информации и согласованные условия вознаграждения, а не забирать активы пользователей и устанавливать вознаграждение после этого.
Провайдеры и проекты должны стремиться к возмещению
Отвечая на вопрос о проектах, токены которых хранились в общей инфраструктуре вестинга, Магальяйнш сказал, что команды должны поручить своим собственным специалистам по безопасности изучить любого провайдера, которого они используют.
Он сказал, что репутация провайдера является частью этой оценки, но его рекомендация предусматривала техническую проверку со стороны команды, выбирающей инфраструктуру.
Что касается ответственности после эксплойта, Магальяйнш сказал, что как провайдер, ответственный за ошибку, так и проекты, выбравшие его, должны работать над тем, чтобы возместить ущерб пользователям.
«Ответственность за работу по возмещению ущерба пользователям лежит как на провайдере с ошибкой, так и на проектах, которые доверяли этому провайдеру».
В его комментариях описывалась ответственность за pursuit возмещения, без установления формулы компенсации или распределения процентной доли потерь между сторонами.
Для аудиторов Магальяйнш отличал пропущенную уязвимость от гарантии того, что проверенный код не может дать сбой. Он сказал, что аудиторская услуга не обещает «безотказный код».
The Crypto Times сообщила, что ответ UNCX включал более высокие комиссии, предназначенные для предотвращения дальнейшей эксплуатации, и координацию с пострадавшими командами, правоохранительными органами и SEAL 911. Согласно этому отчёту от 15 октября, UNCX заявила, что её блокировщики ликвидности и устаревшие контракты вестинга не пострадали, и планировала опубликовать технические выводы и предложенный план восстановления.
