Chainflip הפסיד 736,442.17 $USDT באמצעות שישה תשלומים לא מורשים לאחר שתוקף ניצל את הטיפול שלו בתזכירי עסקאות TRON.
צ'יינפליפ אמר בעדכון התקרית ב-13 בספטמבר כי המתקפה כוונה ל-TRON שלו $USDT אינטגרציה בשעות המוקדמות של ה-12 בספטמבר. הפרוטוקול חוצה השרשרת השהה את הפעולות בזמן שהמפתחים שלו חקרו את העסקאות והכינו תיקון.
החלפת משתמש לגיטימית אחת בשווי 115,654.41 $USDT נשאר ללא תשלום. Chainflip אמר כי הכספים עדיין מוחזקים בכספת שלו וניתן לשחרר אותם לאחר הפעלת הרשת מחדש. הפרוטוקול דיווח כי לא הושפעו קרנות אחרות.
נתון האובדן ורצף ההתקפה מייצגים את הממצאים הנוכחיים של Chainflip. שום הערכת אבטחה עצמאית המאשרת את החשבון המלא לא פורסמה נכון ל-13 בספטמבר.
TRON של Chainflip $USDT אינטגרציה שילמה פיקדונות פעמיים
Chainflip משתמש בתזכירי עסקה כדי לקרוא הוראות החלפה המצורפות להעברות TRON. ברוב שאר הבלוקצ'יין הנתמכים, הפרוטוקול מקבל הוראות באמצעות פונקציות חוזה ייעודיות.
על פי דיווח התקרית, התוקף מצא דרך לצרף תזכיר חדש לעסקה שעליה כבר חתמו מאמתי Chainflip. המערכות של Chainflip פירשו את התזכיר שנוסף כהוראת החלפה נפרדת. כאשר נראה שההוראה החדשה נכשלה, הפרוטוקול הוציא החזר.
ההפקדה המקורית כבר הניבה תשלום. עיבוד התזכיר שהשתנה גרם אפוא ל-Chainflip לשלם כנגד אותה פיקדון בפעם השנייה.
Chainflip ייחסה את הפגם לעיבוד משלה של תזכירי עסקאות TRON. הפרוטוקול לא דיווח על פשרה של blockchain TRON, ה $USDT חוזה חכם או מערכת המילואים של Tether.
התוקף חזר על השיטה שמונה פעמים במהלך תקופה של כ-90 דקות. Chainflip אמר כי הניסיונות המוקדמים השתמשו בכמויות קטנות. כל ניסיון מאוחר יותר היה קרוב פי שניים מזה שלפניו.
רק שישה ניסיונות הניבו תשלומים לא מורשים בסך 736,442.17 $USDT. הפרוטוקול לא פרסם גיבוב עסקאות בודדות, כתובות של ארנק היעד או פירוט של ששת התשלומים בדוח הראשוני שלו.
נִכשָׁל $USDT התשלומים חשפו את המתקפה
Chainflip זיהה את התקרית לאחר מכן $USDT התשלומים החלו להיכשל. המפתחים עקבו אחר הכשלים לעיבוד חוזר ונשנה של פיקדונות באמצעות תזכירים שהשתנו.
הפרוטוקול השעה את פעילות הרשת מכיוון שבדק האם החולשה עלולה להשפיע על נכסים או אינטגרציות אחרות. הסקירה המוקדמת שלה מצאה שהניצול מוגבל ל-TRON $USDT וכי שאר כספי הכספת היו בטוחים.
Chainflip תיאר את התקרית כאירוע האבטחה הקריטי הראשון שלו הכולל כסף שנלקח מכספות פרוטוקולים. בעיות תפעוליות קודמות לא גרמו להפסד דומה מאותם כספות, לפי הפרויקט.
השהיית הרשת מונעת את השלמת החלפות בזמן שהמפתחים מכינים את ההפעלה מחדש. Chainflip לא דיווחה על הפסד נפרד למשתמשים שהעסקאות שלהם נקטעו על ידי הכיבוי.
שירותי בלוקצ'יין אחרים השתמשו בהשעיות חירום בזמן שמפתחים מבודדים כשלי אבטחה. בסיקור קשור, crypto.news דיווחה כי Liquid Network חידשה את ייצור הבלוקים לאחר עדכון חירום, בעוד שההעברות ופעולות ההצמדה נותרו מוגבלות בעקבות משיכה של 320 מיליון דולר.
צ'ינפליפ לא זיהה קשר בין שני האירועים. דוח Liquid Network נוגע ל-sidechain נפרד של ביטקוין ולמערכת טכנית שונה.
Chainflip מכין החזרים ושחזור נכסים
Chainflip אמר שהמשתמשים המושפעים יהפכו שלמים, למרות שהפרוטוקול לא בחר או פרסם את שיטת ההחזר שלו עד 13 בספטמבר. הצוות אמר שמספר אפשרויות נותרו בבדיקה. 115,654.41 שלא שולמו $USDT העסקה לא נספרת בין ששת התשלומים הלא מורשים. הכספים שלה נשארים בכספת, וצ'יינפליפ מצפה לעבד את ההחלפה לאחר חידוש הפעילות.
בינתיים, הפרוטוקול הודיע לגורמים הרלוונטיים על הכספים הגנובים במאמץ לעקוב אחר או לשחזר את התמורה כשהם עוברים בין כתובות ושירותים. צ'ינפליפ לא ציין את שמות הצדדים, לא חשף אם התוקף השתמש בחילופי דברים מרכזיים או אישר שיש כאלה $USDT היה קפוא.
Tether יכול להקפיא כתובות שמחזיקות את האסימונים שלה כאשר פועלים במסגרת תהליכים משפטיים או אכיפה החלים. כפי שדיווח crypto.news בסיקור נפרד, Tether סייע לרשויות בארה"ב לרסן יותר מ-52 מיליון דולר במטבע קריפטוגרפי במהלך פעולה לא קשורה של משרד המשפטים.
לא זוהתה שום הצהרה פומבית של Tether או TRON בנוגע למתקפה של Chainflip עד למועד הפרסום. בהודעתו של צ'ינפליפ לא נאמר אם אף אחד מהארגונים מסייע במעקב אחר הכספים.
הפרוטוקול מתכנן להתחיל לכסות אובדן משתמשים לאחר הפעלה מחדש בבטחה. בהודעתה המקדמית לא נקבע מועד תשלום ולא הוסבר אם הפיצוי יגיע מנכסי האוצר, ביטוח או מקור אחר.
הפעלה מחדש של יום שני תלויה בהשקה הטכנית
Chainflip אמר שהתיקון הבסיסי הושלם, אך המפתחים עדיין צריכים לקבוע את הליך ההפעלה מחדש המדויק. הרשת תישאר מושהית "עד יום שני לכל המוקדם", מה שהופך את ה-14 בספטמבר למועד השחזור המוקדם ביותר במקום זמן ההשקה המאושר.
לפני הפתיחה מחדש, הצוות מתכנן לסיים תוכנית הפעלה מחדש טכנית שנועדה למנוע בעיות עיבוד נוספות. Chainflip לא חשפה אם המאמתים יזדקקו לתוכנה חדשה, לשדרוג מתואם או להצבעת ממשל.
ברגע שהמערכת תתחדש, הפרוטוקול מצפה לעבד את 115,654.41 הממתינים $USDT להחליף ולהתחיל לטפל בפיצויים למשתמשים שכספם שולמו לתוקף.
דוח טכני מלא יגיע לאחר שתוכנית ההפעלה מחדש תינעל והרשת פועלת בצורה מאובטחת, אמר Chainflip. הפרוטוקול לא הכריז על מועד אחרון לפרסום לדוח זה.