Safe Wallet تصدر تحديثاً حول اختراق Bybit بقيمة 1.5 مليار دولار، وتذكر تحسينات أمنية جديدة

شاركت Safe، منصة المحافظ متعددة التواقيع في صلب اختراق Bybit بقيمة 1.5 مليار دولار في 21 فبراير، تحديثاً بنتائج تحقيقها في الاختراق بالتعاون مع شركة الأمن السيبراني Mandiant. كما قدمت تفاصيل الدروس المستفادة من الاختراق والإجراءات اللازمة لتعزيز الأمن في مجتمع العملات المشفرة بأكمله.

نسبت مكتب التحقيقات الفيدرالي الأمريكي (FBI) مسؤولية الاختراق إلى مجموعة التهديد المستمر المتقدم TraderTraitor التابعة لكوريا الشمالية، والتي حددها في عام 2022 على أنها نفس المجموعة التي يُشار إليها باسم مجموعة لازاروس وألقاب أخرى. وأكدت مانديانت، التي تشير إلى المجموعة باسم UNC4899، النسبة، كما ذكرت في مقالها على منصة إكس في 6 مارس. يدعم الحكومة الكورية الشمالية المخترقون.

كان الاختراق منسّقاً بشكل جيد

قام المهاجمون باختراق كمبيوتر مطور في Safe "كان لديه وصول أعلى لأداء واجباته". كما اختطفوا رموز جلسات AWS لتجاوز المصادقة متعددة العوامل. 

لا يزال التحقيق يحاول فهم أفعال المهاجمين بعد اختراق الكمبيوتر. هذه المهمة معقدة بحقيقة أن المهاجمين حذفوا برمجياتهم الخبيثة بعد الانتهاء ومسح سجل Bash. Bash هو واجهة سطر أوامر يستخدمها المبرمجون في أنظمة التشغيل الشبيهة بـ UNIX.

تم اختراق كمبيوتر المطور في 4 فبراير، وأكدت Safe أن المهاجمين دخلوا بيئة AWS الخاصة بـ Safe في اليوم التالي. تم إدراج كود JavaScript خبيث على موقع Safe بحلول 19 فبراير. في 21 فبراير الساعة 14:13 بتوقيت UTC، حدث استغلال Bybit. تم إزالة الكود الخبيث بعد دقيقة، وحدثت معاملة سرقة Bybit بعد دقيقة واحدة.

تم اختراق الكمبيوتر من خلال مشروع Docker. يُستخدم Docker في تصميم التطبيقات. استخدم المخترقون مشاريع Docker سابقاً لإدخال البرمجيات الخبيثة. استهدف الهجوم تحديداً المعاملة التالية لمحفظ ETH البارد متعدد التواقيع الخاص بـ Bybit.

وافق بن تشو، الرئيس التنفيذي لـ Bybit، شخصياً على المعاملة المصيرية، التي كانت تهدف إلى نقل بعض ETH الخاص بها من التخزين البارد إلى المحفظة الساخنة بعد تلقي رابط مزيف من Safe.

شرحت Bybit في يوم الاختراق: "تم التلاعب بهذه المعاملة من خلال هجوم متطور أخفى واجهة التوقيع، مع عرض العنوان الصحيح بينما غيّر منطق العقد الذكي الأساسي".

تجاوز المهاجمون ما لا يقل عن خمس طبقات من أمان Safe في اختراقهم. ذكرت Safe عدة عمليات إعادة تعيين وتحسينات نفذتها للقضاء على التهديدات المحددة وزيادة الأمان. لم تتأثر محافظ العقود الذكية الخاصة بـ Safe وكودها المصدري بالاختراق.

كان الاختراق قابلاً للوقاية

خلصت Safe إلى أن منظمات Web3 "تحتاج إلى تحسينات كبيرة في تجربة المستخدم [UX] لتبسيط إدارة المعاملات الآمنة". "إن عملية توقيع المعاملة نفسها هي حالياً خط الدفاع الأخير، ولا يمكن أن تكون فعالة إلا إذا كان المستخدم قادراً على فهم ما يقوم بتوقيعه".

Safe، الذي يُصاغ اسمه غالبًا كـ Safe{Wallet}، هو محفظة عقود ذكية تخزن التواقيع وتُجري فحوصات للتأكد من استيفاء جميع الموافقات المطلوبة قبل إرسال المعاملة إلى سلسلة الكتل.

على الرغم من اختراق Safe، انتقد الخبراء Bybit لأمنها الرديء. استخدمت Bybit النسخة المجانية من خدمات Safe، والتي وُصفت بأنها أكثر ملاءمة لـ "هواة العملات المشفرة"، بينما كانت هناك برمجيات أكثر تطوراً متاحة.

لاحظت Bybit منذ أشهر أن البرنامج غير متوافق مع خدمات أمنية أخرى. ومنع ذلك تشو من رؤية التفاصيل الكاملة للتحويل.

قام المخترقون بغسل جميع 499,000 ETH التي سرقوها بحلول 4 مارس.