Inżynierowie znajdują błąd Slope Wallet za hackiem opartym na Solanie o wartości 6 milionów dolarów

Po intensywnym 24-godzinnym okresie badacze bezpieczeństwa i inżynierowie Solana Labs powiązali niedawne włamanie do określonych portfeli opartych na Solana z krytycznym błędem w jednym z dostawców usług portfela. Deweloperzy Slope Finance przez pomyłkę wysłali kod, który umożliwiał przesłanie wygenerowanych przez użytkowników fraz źródłowych do złośliwego podmiotu w postaci zwykłego tekstu. 

Hack miał ukierunkowane klucze prywatne związane z ekosystemem Solana, z naruszonymi portfelami automatycznie podpisującymi transakcje bez autoryzacji użytkownika. Hakerzy przenieśli aktywa SOL i USDC użytkowników.

Chociaż problem dotyczył także niektórych użytkowników innych portfeli, takich jak Phantom, Trust Wallet i Solflare, wyniki sugerują, że ta kategoria użytkowników albo utworzyła, albo przekazała swoje seedphrase przez Slope Finance w pewnym momencie.

Zespół Solany wyjaśnił, że atak nie wpłynął na sieć bazową, ponieważ pozostawała ona w pełni funkcjonalna przez cały incydent. Szacuje się, że 7950 portfeli zostało wyczerpanych, co dało hakerom około 6 milionów dolarów nielegalnego zysku.

Zagrożenia bezpieczeństwa Web3 utrzymują się

Najnowsze włamanie na temat portfela Solana przychodzi mniej niż 24 godziny po tym, jak hakerzy opróżnili protokół cross-chain Nomad Bridge prawie 200 milionów dolarów. Obserwatorzy branżowi zgadzają się, że rozpowszechnienie tych zagrożeń bezpieczeństwa osłabia zainteresowanie opinii publicznej eksperymentem Web3 i może potencjalnie osłabić apetyt inwestorów. Incydenty te dają jednak branży możliwość zajęcia się takimi zagrożeniami bezpieczeństwa na ścieżce do powszechnego stosowania.

Na przykład hack portfela Solana Slope był silnie powiązany z zamkniętą naturą kodu źródłowego projektu. Takich incydentów można uniknąć, jeśli projekty Web3 zobowiążą się do rozwoju oprogramowania typu open source. Tymczasem użytkownicy mogą również dodać silną warstwę bezpieczeństwa, korzystając z bezpiecznych portfeli sprzętowych, które przechowują klucze prywatne w trybie offline.