Włamanie do protokołu Ankr o wartości 5 milionów dolarów 1 grudnia zostało spowodowane przez byłego członka zespołu, zgodnie z ogłoszeniem zespołu Ankr z 20 grudnia.
Były pracownik przeprowadził „atak na łańcuch dostaw” wg oddanie złośliwego kodu w pakiet przyszłych aktualizacji wewnętrznego oprogramowania zespołu. Po zaktualizowaniu tego oprogramowania złośliwy kod stworzył lukę w zabezpieczeniach, która umożliwiła atakującemu wykradzenie klucza wdrożeniowego zespołu z serwera firmy.
Raport po akcji: nasze ustalenia z exploita tokena aBNBc
Właśnie opublikowaliśmy nowy wpis na blogu, który szczegółowo omawia ten temat: https://t.co/fyagjhODNG
— Ankr Staking (@ankrstaking) 20 grudnia 2022 r.
Wcześniej zespół ogłosił, że exploit był spowodowane skradzionym kluczem wdrożeniowym który został użyty do aktualizacji inteligentnych kontraktów protokołu. Ale wtedy nie wyjaśnili, w jaki sposób skradziono klucz instalatora.
Ankr zaalarmował lokalne władze i próbuje doprowadzić napastnika do odpowiedzialności. Próbuje również wzmocnić swoje praktyki bezpieczeństwa, aby chronić dostęp do swoich kluczy w przyszłości.
Kontrakty z możliwością aktualizacji, takie jak te używane w Ankr, opierają się na koncepcji „konta właściciela”, które ma wyłączne uprawnienia robić aktualizacje, zgodnie z samouczkiem OpenZeppelin na ten temat. Ze względu na ryzyko kradzieży większość programistów przenosi własność tych kontraktów na bezpieczne konto gnozy lub inne konto z wieloma podpisami. Zespół Ankr powiedział, że w przeszłości nie używał konta multisig do własności, ale będzie to robić od teraz, stwierdzając:
„Eksploit był możliwy częściowo dlatego, że w naszym kluczu deweloperskim był pojedynczy punkt awarii. Teraz zaimplementujemy uwierzytelnianie multi-sig dla aktualizacji, które będą wymagały podpisania przez wszystkich kluczowych opiekunów w określonych odstępach czasu, co sprawi, że przyszły atak tego typu będzie niezwykle trudny, jeśli nie niemożliwy. Te funkcje poprawią bezpieczeństwo nowego kontraktu ankrBNB i wszystkich tokenów Ankr.”
Ankr zobowiązał się również do poprawy praktyk w zakresie zasobów ludzkich. Będzie wymagać „eskalacji” weryfikacji przeszłości wszystkich pracowników, nawet tych, którzy pracują zdalnie, oraz przeglądu praw dostępu, aby upewnić się, że dostęp do wrażliwych danych mają tylko pracownicy, którzy ich potrzebują. Firma wdroży również nowe systemy powiadomień, aby szybciej ostrzegać zespół, gdy coś pójdzie nie tak.
Włamanie do protokołu Ankr został odkryty po raz pierwszy 1 grudnia. Pozwoliło to atakującemu wybić 20 bilionów BNB Ankr Reward Bearing Staked BNB (aBNBc), które zostały natychmiast wymienione na zdecentralizowanych giełdach za około 5 milionów USD w monetach USD (USDC) i połączone z Ethereum. Zespół oświadczył, że planuje ponownie wydać tokeny aBNBb i aBNBc użytkownikom dotkniętym exploitem i wydać 5 milionów dolarów z własnego skarbca, aby zapewnić pełne wsparcie tych nowych tokenów.
Deweloper przeznaczył również 15 milionów dolarów na repeg stablecoina HAY, który stał się niedostatecznie zabezpieczony z powodu exploita.
Źródło: https://cointelegraph.com/news/ankr-says-ex-employee-caused-5m-exploit-vows-to-improve-security