Vika, joka tuhosi Wintermuten, on edelleen suuri

Blockchain-tietoturvainfrastruktuuriyritys BlockSec vahvisti Twitterissä että hajautetun vaihto-aggregaattorin ParaSwapin käyttöönotto-osoite oli alttiina niin, että siitä on tullut Profanity-haavoittuvuus.

ParaSwap oli ensimmäinen hälytti haavoittuvuudesta varhain tiistaiaamuna sen jälkeen, kun Web3:n ekosysteemin tietoturvatiimi Supremacy Inc. sai tietää, että käyttöönotto-osoite liittyi useisiin usean allekirjoituksen lompakoihin.

Kiroilu oli aikoinaan yksi suosituimmista lompakko-osoitteiden luomiseen käytetyistä työkaluista, mutta projekti hylättiin perustavanlaatuisia turvallisuusvirheitä. 

Äskettäin maailmanlaajuinen kryptomarkkinoiden tuottaja Wintermute tyrmäsi $ 160 euroa epäillyn kiroiluvirheen takia.

Supremacy Inc:n kehittäjä Zach - joka ei kertonut sukunimeään - kertoi Blockworksille, että profanityn luomat osoitteet ovat alttiita hakkeroille, koska se käyttää heikkoja satunnaislukuja yksityisten avainten luomiseen.

"Jos nämä osoitteet käynnistävät tapahtumia ketjussa, hyödyntäjät voivat palauttaa julkiset avaimensa tapahtumien kautta ja sitten hankkia yksityiset avaimet jatkamalla julkisten avainten törmäyksiä", Zach kertoi Blockworksille Telegramin kautta tiistaina.

"On yksi ja ainoa ratkaisu [tähän ongelmaan], joka on varojen siirtäminen ja lompakon osoitteen muuttaminen välittömästi", hän sanoi.

Tutkittuaan tapausta ParaSwap sanoi, että haavoittuvuuksia ei löytynyt, ja kiisti, että Profanity olisi luonut sen käyttöönottosovelluksen.

Vaikka on totta, että Profanity ei luonut käyttöönottoa, BlockSecin perustaja Andy Zhou kertoi Blockworksille, että ParaSwapin älykkään sopimuksen luonut työkalu oli edelleen Profanity-haavoittuvuuden vaarassa.

"He eivät ymmärtäneet, että he käyttivät haavoittuvaa työkalua osoitteen luomiseen", Zhou sanoi. "Työkalussa ei ollut tarpeeksi satunnaisuutta, mikä teki mahdolliseksi murtaa yksityisen avaimen osoitteen."

Tieto haavoittuvuudesta on myös auttanut BlockSeciä saamaan takaisin varoja. Tämä koski DeFi-protokollia BabySwap- ja TransitSwap-protokollia, joihin molempiin hyökättiin 1. lokakuuta.

"Pystyimme hakemaan varat ja palauttamaan ne protokolliin", Zhou sanoi.

BlockSec-kehittäjät havaitsivat, että joitakin hyökkäystapahtumia oli ohjannut Profanity-haavoittuvuudelle alttiina robotti, ja he onnistuivat varastamaan tehokkaasti varkailta.

Huolimatta suosiosta tehokkaana työkaluna osoitteiden luomiseen, Profanityn kehittäjä varoittivat Githubissa lompakon turvallisuus on ensiarvoisen tärkeää. "Koodi ei saa päivityksiä, ja olen jättänyt sen kääntämättömään tilaan", kehittäjä kirjoitti. "Käytä jotain muuta!"

käydä DAS: LONTOON ja kuule kuinka suurimmat TradFi- ja kryptoinstituutiot näkevät krypton institutionaalisen käyttöönoton tulevaisuuden. Rekisteröidy tästä.