Злом Munchables набагато гірший, ніж здається

У вівторок, 26 березня, проект «GameFi» на основі NFT на базі Ethereum Munchables повідомив про злам, який злив понад 17 400 ETH (приблизно 63 мільйони доларів) зі своєї скарбниці. Протягом п'яти годин розслідування з'ясувалося, що атака була здійснена зсередини будинку: кошти злив найнятий забудовник під псевдонімом Werewolves0943. Інсайдери, які викрадають кошти проекту, досить поширені в Крипто , тому термін «rugpull» став загальноприйнятим явищем, але унікальність цієї ситуації полягає в тому, що наймані працівники нібито мав зв'язки з Північною Кореєю.

Це уривок з інформаційного бюлетеня The Node, щоденного огляду найважливіших новин про Крипто на CoinDesk і за його межами. Ви можете підписатися, щоб отримати повну версію інформаційний бюлетень тут.

Після години переговорів під керівництвом Munchables разом із незалежним дослідником блокчейну ZachXBT і охоронною фірмою PeckShield Werewolves0943 переконали повернути всі кошти. "Розробник Munchables поділився всіма закритими ключами, залученими для допомоги у відновленні коштів користувача. Зокрема, ключ, який містить 62 535 441,24 доларів США, ключ, який містить 73 WETH, і ключ власника, який містить решту коштів", - опублікувала команда Munchables о 4:40 ранку за UTC.

Хоча це здається досить щасливим вирішенням відносно невеликої вартості злому, експлойт Munchables може мати довгий хвіст поганих результатів для Крипто . Найважливіше те, що поки що T підтверджено, що Північна Корея була причетна до атаки, сам факт, що так багато людей були готові прийняти це за чисту монету, сприяє поширенню небезпечного наративу про те, що Крипто допомагає підірвати національну оборону та зміцнити терористичні організації.

Дані з 2016 по 2023 рік зібрані аналітичною компанією в мережі Chainalysis показав що Північна Корея зламала принаймні 20 Крипто , викравши активи на суму трохи більше 1 мільярда доларів лише минулого року. Окрема доповідь в Лабораторії TRM значною мірою обґрунтував ці висновки. «За останні кілька років почастішали хакерські атаки, пов’язані з Північною Кореєю, а групи кібершпигунства, такі як Kimsuky і Lazarus Group, використовують різні зловмисні тактики для отримання великої кількості Крипто », — йдеться у звіті Chainalysis .

Раніше дослідження виявлено Хакери, пов’язані з Північною Кореєю, використовували викрадені Крипто на мільярди доларів для фінансування програми створення ядерної зброї Королівства відлюдників. Ці атаки стали суттєвою причиною того, чому Міністерство фінансів США пішло на безпрецедентний крок, щоб накласти санкції на смарт-контракт змішувача Крипто Tornado Cash, і чому сенатор Елізабет Воррен (штат Массачусетс) може добросовісно назвати Крипто «ризик національній безпеці».

«Справжні розмови: найбільшою Політика загрозою для Крипто є звинувачення в тому, що Північна Корея фінансує свою ракетну програму шляхом злому смарт-контрактів», — генеральний директор Variant Fund Джейк Червінскі. написав на X. Якщо Крипто буде заборонена, «це буде спричинено дедалі більш поширеною думкою серед політиків, які виступають проти криптовалюти, що Крипто T має іншого варіанту використання, окрім азартних ігор і злочинності, і що ризик продовження існування Крипто значно переважує потенційні вигоди, які розробники блокчейну обіцяли, але не надавали роками».

Атака Munchables лише додає цьому образу. Насправді, це трохи гірше, оскільки це був T зовнішній актор, який використовував погано написаний код, а повний провал належної обачності з боку частини багатомільйонного блокчейн-проекту під час найму розробників. Це дає абсолютно новий аспект ідеї «соціальної інженерії», коли очевидні суб’єкти загрози можуть не лише маніпулювати інсайдером для отримання важливої ​​інформації, але й отримувати гроші за те, щоб бути всередині.

За словами розробника Ethereum 0x Вийти, атака Манчаблів була спланована з самого початку. Зловмисник зміг оновити «контракт на блокування», тобто KEEP кошти проекту під замком протягом певного періоду часу, щоб він міг «призначити собі депонований баланс у 1 000 000 ефірів», а також приховати докази змін, Заявлено 0xQuit.

Дивіться також: Називаючи хак експлойтом, ви мінімізуєте Human помилку | Погляди

Звичайно, це проблема T тільки для Крипто : протягом багатьох років Федеральне бюро розслідувань і Республіка Корея видають попередження щодо Північної Кореї. «ремесло» експлуататорів, які отримують доступ до ключової інфраструктури через роботу. «Наймання або підтримка ІТ-працівників КНДР продовжує створювати багато ризиків, починаючи від крадіжки інтелектуальної власності, даних і коштів до шкоди репутації та юридичних наслідків», — написали агентства в нещодавньому повідомленні для громадськості.

Відкат назад

Крім збентеження через те, що принаймні ONE північнокорейський хакер працює над проектами, які вони мають намір пограбувати, відповідь Крипто на атаку Munchables також показала, наскільки вразливими є ці системи. Наприклад, кілька людей у ​​Крипто Twitter припустили, що, оскільки Munichables був на суперечливому блокчейні Blast, який підтримується, по суті, простим гаманцем із кількома підписами, команда Blast могла б втрутитися, повернувши ланцюжок, щоб повернути вкрадені кошти.

«Хоча я категорично проти таких дій щодо будь-якої іншої мережі, я сприймаю Blast T як бренд «ланцюга серйозної децентралізації», а як місце для ігор, експериментів, дегенерації ETC», — сказав Адам Кокран, впливовий голос у колах Ethereum і партнер Cinneamhain Ventures. на підтримку потенційного відкату.

Без сумніву, Blast є суперечлива мережа — ONE , який зібрав понад ONE мільярд доларів, навіть не маючи прототипу, — але він зовсім не відрізняється від того, як будуються інші рівні 2 OP Stack. Наприклад, після того, як Ерік Уолл нагадав своїм підписникам, що мережі Blast і Coinbase, по суті, працюють на одній кодовій базі, головний розробник Base Джессі Поллак написав у Twitter, що Base «ключі не контролюються ONE стороною чи організацією». Замість цього Base контролюється гаманцем 2/2 з кількома підписами, який теоретично також може відкотити ланцюжок, якщо обидві сторони погодяться.

Дивіться також: POLY Heist на 600 мільйонів доларів показує, що DeFi потребує хакерів, щоб стати неможливим для злому | Погляди

Наразі жодне рішення для масштабування Ethereum не є справді «децентралізованим», як це прийнято розуміти, навіть якщо команди, які їх розробляють, зазвичай дотримуються принципів доступу без дозволу та відмови від цензури користувачів. У певному сенсі, як зазначає Червінскі, багато політиків, які «розуміють різницю між централізованою та децентралізованою Технології», обрали б першу, оскільки це означає, що засновники залишаються під контролем того, що відбувається в мережі.

«Але зрештою тягар роботи кращих лягає на будівельників галузі», — додав він.