Safe Wallet выпускает обновление по взлому Bybit на $1,5 млрд, перечисляет новые меры безопасности

Safe, платформа многоподписных кошельков, ставшая центром взлома Bybit на сумму 1,5 млрд долларов 21 февраля, опубликовала обновлённые результаты расследования в сотрудничестве с кибербезопасностной фирмой Mandiant. Также были изложены уроки, извлечённые из инцидента, и меры, необходимые для укрепления безопасности во всём крипто-сообществе.

Федеральное бюро расследований США возложило ответственность за взлом на северокорейскую группу продвинутой постоянной угрозы TraderTraitor, которую оно идентифицировало в 2022 году как ту же самую группу, что известна под названием Lazarus Group и другими наименованиями. Mandiant, которая называет эту группу UNC4899, подтвердила эту атрибуцию, заявил Safe в своей статье от 6 марта в X. Хакеры действуют при поддержке правительства Северной Кореи.

Взлом был тщательно спланирован

Злоумышленники получили доступ к ноутбуку разработчика Safe, «имевшего расширенные права для выполнения своих обязанностей». Они также перехватили токены сессий AWS, чтобы обойти двухфакторную аутентификацию. 

Расследование всё ещё изучает действия злоумышленников после компрометации компьютера. Эта задача усложняется тем, что хакеры удалили своё вредоносное ПО по завершении и очистили историю команд Bash. Bash — это командный интерфейс, используемый программистами в операционных системах семейства UNIX.

Компьютер разработчика был скомпрометирован 4 февраля, когда Safe уже функционировал, а на следующий день злоумышленники получили доступ к среде AWS компании Safe. К 19 февраля на сайте Safe был внедрён вредоносный JavaScript-код. 21 февраля в 14:13 UTC произошёл взлом Bybit. Вредоносный код был удалён через минуту, а транзакция хищения средств Bybit совершена через минуту после этого.

Компьютер был скомпрометирован через проект Docker. Docker используется при разработке приложений. Хакеры ранее использовали проекты Docker для внедрения вредоносного ПО. Атака конкретно нацеливалась на следующую транзакцию мультисиг-кошелька ETH Bybit.

Генеральный директор Bybit Бен Чжоу лично одобрил роковую транзакцию, которая должна была перевести часть ETH из холодного кошелька в горячий после получения поддельной ссылки от Safe.

Bybit объяснила в день взлома: «Эта транзакция была манипулирована с помощью сложной атаки, маскирующей интерфейс подписания, отображающей правильный адрес, но изменяющей логику базового смарт-контракта».

Злоумышленники обошли как минимум пять уровней защиты безопасности Safe. Компания Safe объявила о ряде мер по сбросу и улучшению системы для устранения выявленных угроз и повышения уровня безопасности. Смарт-контракты Safe и их исходный код не пострадали в результате взлома.

Взлом можно было предотвратить

Организации Web3 «нужны значительные улучшения UX [пользовательского опыта], упрощающие управление безопасными транзакциями», — заключила Safe. «Сам процесс подписания транзакции в настоящее время является последней линией обороны, и он может быть эффективным только тогда, когда пользователь понимает, что именно он подписывает».

Safe (часто стилизуется как Safe{Wallet}) — это смарт-кошелёк, который хранит подписи и выполняет проверки для обеспечения того, чтобы все необходимые разрешения были получены до отправки транзакции в блокчейн.

Несмотря на то, что Safe Wallet была скомпрометирована во время взлома, эксперты возложили вину на Bybit за её ненадёжную безопасность. Bybit использовала бесплатную версию услуг Safe, которая описывалась как более подходящая для «крипто-любителей», тогда как было доступно более совершенное программное обеспечение.

Bybit ещё за несколько месяцев до инцидента заметил, что программное обеспечение несовместимо с другими службами безопасности. Это помешало Чжоу увидеть полные детали перевода.

Хакеры отмыли все 499 000 ETH, которые они украли, к 4 марта.