Согласно отчету, Lazarus, похоже, скомпрометировал машину разработчика Safe перед взломом Bybit на $1,5 миллиарда
Краткий обзор: Согласно промежуточному отчету Sygnia, группа Lazarus, по-видимому, скомпрометировала машину разработчика Safe, что позволило ей внедрить высокоориентированный скрипт для захвата контроля над холодным кошельком Ethereum на платформе Bybit.
Bybit, жертва крупнейшей на сегодняшний день однодневной хакерской атаки, выпустила "промежуточный отчет" о расследовании, раскрывающий, что биржа знает на данный момент, продолжая отслеживать $1,5 миллиарда, выведенные северокорейской хакерской группой Lazarus в пятницу.
Как сообщалось ранее, атака произошла во время относительно безобидной операции, когда держатели мультиподписей Bybit координировали перевод средств из холодного кошелька в "теплый кошелек" с использованием интерфейса Safe(Wallet), когда "злоумышленник вмешался и манипулировал транзакцией".
"Злоумышленник смог получить контроль над затронутым холодным кошельком и перевел его средства в кошелек под своим контролем", — пишет в отчете криптокибербезопасная фирма Sygnia из Тель-Авива.
Согласно судебно-медицинскому расследованию модифицированных систем и веб-архивов, предназначенных "для выявления источника и масштаба компрометации", Sygnia обнаружила, что Lazarus, по-видимому, смогли взять под контроль компьютер разработчика Safe, чтобы внедрить вредоносное ПО, специально разработанное для атаки на подписантов Bybit.
Это подтверждает некоторые исследования, быстро проведенные сообществом безопасности Ethereum в течение нескольких часов после эксплуатации — хотя не все. Хотя кажется, что Lazarus использовали все более популярную стратегию заражения устройств подписания, используемых для перемещения средств, и "слепых подписей", чтобы обмануть подписантов, заставив их неосознанно взаимодействовать с незнакомым адресом, контролируемым злоумышленниками, маскируя интерфейс, как ранее сообщал The Block, теперь стало ясно, что устройства Bybit не были непосредственно вовлечены.
Тем не менее, исследование Sygnia помогает лучше понять, как Lazarus смогли взять под контроль операцию подписания держателя мультиподписи Bybit.
Не инфраструктура Bybit
"Выделенные первоначальные выводы предполагают, что атака началась с инфраструктуры Safe(Wallet) на AWS", — сообщает Sygnia. "На данный момент судебно-медицинское расследование не выявило никакой компрометации инфраструктуры Bybit."
Выводы предполагают, что несанкционированная активность возникла в результате целевой атаки на облачную систему Safe(Wallet), а именно на ее Amazon Web Services (AWS) S3 bucket, гибкую систему, обычно используемую для хранения и извлечения статических файлов (таких как скрипты или HTML-код) для веб-приложений. Браузеры подписантов затем загружали скомпрометированный JavaScript из S3 bucket (кэшированный локально, как обнаружено в артефактах Chrome, изученных Sygnia), который затем выполнял измененную транзакцию, когда Bybit собирался переместить свои средства. Более того, Sygnia обнаружила этот код на всех хостах мультиподписи, использованных для инициирования и подписания скомпрометированной транзакции
Со своей стороны, Safe — команда, выделившаяся из Gnosis — подтвердила, что атака "была осуществлена через скомпрометированную машину разработчика Safe{Wallet}, что привело к предложению замаскированной вредоносной транзакции", но не скомпрометировала фронтенд Safe
, исходный код или смарт-контракты.Другие под угрозой?
Тем не менее, неясно, как была взломана эта машина разработчика или находятся ли другие пользователи Safe под угрозой. Lazarus мог получить возможность изменять файлы в AWS S3-бакете Safe{Wallet}, либо скомпрометировав учетные данные — например, украв ключи доступа AWS сотрудника или третьей стороны через фишинг или вредоносное ПО, — либо с помощью более сложной атаки.
В любом случае, попав внутрь, злоумышленник смог загрузить или изменить файлы — например, внедрив вредоносный код, который дал им контроль над критически важной частью системы безопасности Bybit.
"Это обновление от Safe не такое уж хорошее. Оно использует расплывчатый язык, чтобы обойти проблемы. У меня больше вопросов, чем ответов после его прочтения," сказал Чанпэн Чжао, бывший генеральный директор Binance, в ответ на публичное заявление Safe. "Что значит 'компрометация машины разработчика Safe {Wallet}'? Как они взломали эту конкретную машину? Это была социальная инженерия, вирус и т.д.? как машина разработчика получила доступ к 'аккаунту, управляемому Bybit'?"
CZ также задал вопросы о том, как внедренный код смог повлиять на Bybit, и почему именно его адрес Ethereum на $1,5 миллиарда был выбран в качестве цели. "Как они обманули шаг проверки Ledger у нескольких подписантов? Это была слепая подпись? или подписанты не проверили должным образом?" он спросил.
Safe отметил, что он “полностью перестроил, перенастроил всю инфраструктуру и сменил все учетные данные, обеспечив полное устранение вектора атаки,” хотя все еще выражает осторожность при подписании транзакций.
Sygnia обнаружила, что код был высоко нацелен, так как он активировался “только когда источник транзакции совпадал с одним из двух адресов контрактов: адресом контракта Bybit и неопознанным адресом контракта, вероятно, связанным с угрозой.” Более того, похоже, что Lazarus закэшировал файл за два дня до атаки.
Через две минуты после выполнения вредоносной транзакции, Lazarus загрузил новые, незатронутые версии ресурсов Javascript в AWS S3-бакет Safe(Wallet), чтобы скрыть свои следы.
Публичные коммуникации
Со своей стороны, Bybit усердно работает над тем, чтобы держать общественность в курсе, стремясь вернуть свои средства. В дни после атаки биржа сообщила пользователям, что они не пострадают, так как она обеспечила мостовой кредит для покрытия дефицита резервов. Она также запустила программы вознаграждения за обнаружение ошибок — предлагая 10% тому, кто сможет вернуть средства, и 5% биржам и миксерам, которые работают над их заморозкой.
Некоторые исследователи Ethereum оценивают, что бирже удалось восстановить более $100 миллионов, включая $43 миллиона mETH.
"Расследование все еще продолжается для дальнейшего подтверждения выводов," пишет Sygnia.
Обновление: Добавлено заявление Чанпэна Чжао.
Дисклеймер: содержание этой статьи отражает исключительно мнение автора и не представляет платформу в каком-либо качестве. Данная статья не должна являться ориентиром при принятии инвестиционных решений.
Вам также может понравиться
ИИ-токены растут в ожидании отчета о прибылях Nvidia
Мемы и «безумие» отнимают долю внимания у реальной индустрии - Джефф Дорман
Краткий обзор: Джефф Дорман, главный инвестиционный директор Arca, заявил, что мемкойны и "безумие" отвлекают внимание от реальной и растущей индустрии, именно в тот момент, когда крупные институциональные игроки стремятся принять участие.
Годовая выручка MARA выросла на 69% до $656,4 млн, компания владеет 44 893 биткоинами
Краткий обзор MARA, ранее известная как Marathon Digital, отчиталась о доходах за четвертый квартал, которые значительно превзошли ожидания. Выручка увеличилась на 37% до $214,4 миллиона за квартал, по сравнению с $156,8 миллиона за тот же период прошлого года.
Цена биткоина (BTC) упала до $88 000, а отток из спотовых ETF приближается к $1 млрд
Популярное
ДалееЦены на крипто
Далее
