Angreifer könnten einen Fehler in der Argent-Wallet ausgenutzt haben, um Gelder von Nutzern zu stehlen

Eine Sicherheitslücke in der Argent-Wallet hätte es Angreifern ermöglicht, Gelder von Nutzern ohne Aufsichtspersonen zu stehlen.

Laut einem Bericht von Forschern bei OpenZeppelin hätte der Fehler es Angreifern ermöglichen können, Argent-Wallets zu übernehmen, insbesondere solche, bei denen keine Schutzfunktionen.

Sicherheitslücke in der Argent Wallet ausgenutzt

Die Wächterfunktion ermöglicht es Nutzern, bestimmte Aktionen ihrer Wallet zu steuern, beispielsweise die Wallet-Wiederherstellung und -Sperrung. Um ein Konto auf der Plattform zu erstellen, müssen Nutzer Wächter einrichten. Konten, die vor dem 30. März 2020 erstellt wurden, konnten jedoch ohne Wächter eingerichtet werden.

Angreifer nutzten einen Fehler im Code von Argent aus und lösten einen Wiederherstellungsprozess für Konten aus, für die kein Kontowächter eingerichtet wurde. Nutzer können ihre Guthaben jedoch schützen, indem sie ihre Wallets regelmäßig überwachen und die Wiederherstellungsanfrage innerhalb von 36 Stunden nach deren Ausstellung stornieren.

Dies ist ein standardmäßiger Wiederherstellungszeitraum, der nun zum Schutz der Kundengelder genutzt werden kann. Blockiert der Nutzer jedoch einen Wiederherstellungsversuch, macht ihn der Fehler in der Wallet anfällig für einen Denial-of-Service-Angriff, der seine Gelder fürdefiZeit einfrieren könnte.

Dies kann durch wiederholtes Anfordern einer Wallet-Wiederherstellung erreicht werden, sodass das Konto im Wiederherstellungszeitraum verbleibt und der Benutzer keinen Zugriff auf die Gelder hat.

Lösung

Das Team von Argent gab bekannt, dass es den OpenZeppelin-Fix nutzen werde, der Angreifer daran hindert, eine Wallet-Wiederherstellung auszulösen . Aufgrund der großen Anzahl von Wallets ohne Wächter schlug das Unternehmen die Hinzufügung einer Funktion vor, die sicherstellt, dass Anfragen an Wallets ohne Wächter nicht beantwortet werden.

Argent gab bekannt, dass man bereits Kontakt zu betroffenen Nutzern aufgenommen habe, um mindestens einen Wächter für deren Wallet einzurichten .