Протокол взаимодействия между блокчейнами Socket сообщил о нарушении безопасности во вторник, в результате которого были потеряны более 3,3 миллиона долларов. Инцидент затронул кошельки, которые предоставили бесконечные одобрения контрактам Socket. Это было связано с уязвимостью в проверке пользовательского ввода.
Эксплойт был связан с конкретным маршрутом в системе, который был добавлен всего за три дня до атаки. Как сообщила компания по безопасности блокчейна PeckShield, проблемный маршрут был отключен, чтобы предотвратить дальнейшее злоупотребление.
Socket выявил проблему
В ответ на нарушение безопасности Socket заявил, что выявил уязвимость в проверке пользовательского ввода. Взлом затронул его агрегатор Bungee.
Сегодняшний взлом на @SocketDotTech привел к потере >$3.3м.
Плохой маршрут, использованный при взломе, был добавлен 3 дня назад и сейчас отключен. Вот связанные транзакции: – добавить маршрут tx: https://t.co/lxw7iA1kn4– отключить маршрут tx:https://t.co/QMHfI4YeuU
Взлом произошел из-за… https://t.co/QdBBgVF287 pic.twitter.com/yNxF5vCwax
— PeckShield Inc. (@peckshield) 16 января 2024 года
Socket признал нарушение и сообщил пользователям о принятых мерах по устранению ситуации. Компания приостановила затронутые контракты и заверила пользователей, что им не требуется предпринимать дополнительные действия. Реакция была направлена на ограничение влияния и защиту активов пользователей.
Компания по кибербезопасности Hacken подтвердила, что уязвимость возникла из недавно развернутого контракта. Они определили проблему как неполную проверку пользовательского ввода, что позволило злоумышленникам использовать контракты для несанкционированных переводов средств.
Тем временем блокчейн-разработчик Франческо Андреоли отметил в своем посте: «Рад сообщить, что пользователи @MetaMask swaps не пострадали от текущего взлома Socket Gateway. Скоро мы, вероятно, напишем еще немного о том, как наша архитектура позволила нам интегрировать Socket, не подвергаясь уязвимости».
Тем не менее, инцидент подчеркивает необходимость безопасности смарт-контрактов в процессе развития DeFi. Это требует не только строгих протоколов безопасности, но и постоянного внимания для защиты активов пользователей в децентрализованных приложениях.
Криптоинвестор Райан С. Адамс, известный как rsa.eth на X, поделился своими опасениями как «крипто-житель» в контексте недавнего нарушения безопасности. Его твиты отражают беспокойство и вызовы, с которыми сталкиваются лица, вложившиеся в криптовалютную экосистему, особенно во время инцидентов безопасности.
Он отметил: «Почему наши кошельки не могут автоматически отзывать разрешения для нас… почему они не могут предупреждать нас, когда возникает такая проблема? Нам нужна защита от ошибок и фишинга внутри наших кошельков».