5 Kasım'da bZX protokolünün saldırıya uğradığı bildirildi. Saldırgan, etkilenen akıllı sözleşmelerdeki token'ları boşalttı. Saldırı işlemlerinin ilk analizinin ardından, bunun geliştiricinin ele geçirilmiş özel anahtarından kaynaklandığından şüpheleniyoruz.
Saldırı süreci
Süreç kabaca basittir. Etkilenen akıllı sözleşmenin sahipliğini yeni bir adrese, örneğin 0x0acc0e5faa09cb1976237c3a9af3d3d4b2f35fa5 adresine aktarmak için transferOwnership ayrıcalıklı fonksiyonu çağrılır. Ardından yeni sözleşme sahibi, akıllı sözleşme tarafından onaylanmış tüm token'ları isteğe bağlı adreslere aktarabilir.
transferOwnership ayrıcalıklı fonksiyonunun yalnızca akıllı sözleşmenin mevcut sahibi tarafından çağrılabileceğini unutmayın. Nitekim bu fonksiyonun çağırıcısının, etkilenen akıllı sözleşmenin sözleşme yaratıcısı olan 0xb7f72028d9b502dc871c444363a7ac5a52546608 olduğunu tespit ettik.
Sözleşme yaratıcısının sahipliği neden başka adreslere devrettiğinin tam nedenini bilmiyoruz. Ancak bunun ele geçirilmiş (veya sızdırılmış) geliştirici özel anahtarından kaynaklandığından şüpheleniyoruz.
Sonuç
Özetle, DApp'lerin özel anahtarının güvenliği, özellikle DAO kullanmayanlar için uygulamanın güvenliği açısından kritik öneme sahiptir. Proje sahiplerinin özel anahtarı güvence altına almak için gizli hesaplama ve MPC gibi yeni teknikler kullanmasını öneririz.
BlockSec Hakkında
BlockSec, 2021 yılında küresel alanda tanınan güvenlik uzmanlarından oluşan bir grup tarafından kurulmuş öncü bir blok zinciri güvenlik şirketidir. Şirket, kitlesel benimsenmesini kolaylaştırmak amacıyla gelişmekte olan Web3 dünyasının güvenliğini ve kullanılabilirliğini artırmayı taahhüt etmektedir. Bu doğrultuda BlockSec; akıllı sözleşme ve EVM zinciri güvenlik denetimi hizmetleri, tehditleri proaktif olarak güvenli geliştirme ve engelleme için Phalcon platformu, fon takibi ve araştırma için MetaSleuth platformu ve kripto dünyasında verimli gezinen web3 geliştiricileri için MetaSuites eklentisi sunmaktadır.
Bugüne kadar şirket; MetaMask, Uniswap Foundation, Compound, Forta ve PancakeSwap gibi 300'den fazla saygın müşteriye hizmet vermiş ve Matrix Partners, Vitalbridge Capital ile Fenbushi Capital gibi önde gelen yatırımcılardan iki yatırım turunda on milyonlarca ABD doları finansman almıştır.
Resmi web sitesi: https://blocksec.com/
Resmi Twitter hesabı: https://twitter.com/BlockSecTeam
