AFX hat angekündigt, dass es einen Goodwill-Plan für Benutzer vorbereitet hat, die von dem Brücken-Exploit in Höhe von 24,15 Millionen US-Dollar letzte Woche betroffen waren, wobei der Wiederherstellungsvorschlag für den 3. August geplant ist.
Zusammenfassung
- AFX wird am 3. August einen Goodwill-Plan für Benutzer ankündigen, die von seinem Brücken-Exploit in Höhe von 24,15 Millionen US-Dollar betroffen sind.
- Das Protokoll erklärte, dass seine Untersuchung ergab, dass der Angriff mit einer Social-Engineering-Kampagne begann, die die interne Entwicklungsumgebung kompromittierte.
- AFX sagte, der Exploit zielte auf seine eigene Verwahrungsbrücke ab und betraf nicht die native Brücke von Arbitrum.
- Das Protokoll hat wichtige Infrastruktur neu aufgebaut und zusätzliche Sicherheitsmaßnahmen eingeführt, während die Wiederherstellungsbemühungen fortgesetzt werden.
Laut einer von AFX geteilten Ankündigung finalisiert das dezentrale Derivateprotokoll einen Goodwill-Plan nach dem Sicherheitsvorfall vom 22. Juli und wird die Details am Montag, den 3. August, veröffentlichen. Das Team sagte, dass Investoren, Mitarbeiter und frühe Unterstützer alle von dem Angriff betroffen waren und bat die Gemeinschaft um Geduld, während es den endgültigen Vorschlag abschließt.
Das Update kommt, nachdem AFX seine technische Untersuchung des Exploits abgeschlossen hat, der zum Diebstahl von etwa 24,15 Millionen USDC aus einer von AFX betriebenen Verwahrungsbrücke führte. Das Protokoll hat noch nicht offengelegt, wie die Entschädigung oder Wiederherstellung strukturiert sein wird, sagte jedoch, dass seine nächste Ankündigung sich auf den Goodwill-Plan konzentrieren wird.
Frühere öffentliche Aussagen bestätigten den Exploit, der auf die von AFX betriebene Infrastruktur abzielte und nicht auf die native Brücke von Arbitrum. Damals untersuchten die Blockchain-Sicherheitsfirma Blockaid und das Arbitrum-Team den Vorfall, während Offchain Labs-Mitbegründer Steven Goldfeder sagte, dass die verdächtige Transaktion von einem Drittanbieter-Protokoll stammte und nicht von der Kernbrücke von Arbitrum.
AFX sagt, der Angriff begann mit einem Entwickler
In einem detaillierten Post-Mortem, das nach dem Vorfall veröffentlicht wurde, sagte AFX, dass der Einbruch von einer Social-Engineering-Kampagne gegen einen seiner Entwickler ausging und nicht von einer Schwachstelle in seinen Smart Contracts oder der Blockchain-Infrastruktur. Laut dem Protokoll gab sich der Angreifer am 9. Juli als Personalvermittler eines Unternehmens namens Oddium Lab aus und überzeugte den Entwickler, ein Repository zu klonen, das wie ein legitimes Software-Repository aussah.
AFX sagte, das Repository enthielt eine bösartige Git-Konfiguration, die während eines routinemäßigen Git-Workflows eine versteckte Nutzlast ausführte und dem Angreifer einen ersten Fuß in die Workstation des Entwicklers verschaffte. Mit dem kompromittierten Gerät erweiterte der Angreifer nach und nach den Zugriff auf interne Entwicklungssysteme, bevor er einige Tage später den Projektquellcode herunterlud.
Die Untersuchung sagte, der Angreifer lud später ein bösartiges Groovy-Plugin in das JFrog-Artefakt-Repository des Protokolls hoch und erlangte Remote-Code-Ausführung in der Software-Lieferumgebung. Laut AFX wurden wiederholte Out-of-Memory-Ereignisse auf dem JFrog-Server zunächst als betriebliche Probleme mit Unterstützung des Anbieters behandelt, sodass das bösartige Plugin mehrere Neustarts überleben konnte, ohne eine Sicherheitsreaktion auszulösen.
Forensische Analysen ergaben später, dass der Angreifer Systembinärdateien durch trojanisierte Versionen ersetzt hatte, bösartige gemeinsam genutzte Bibliotheken injizierte und versuchte, Sicherheitsprotokolle zu löschen, bevor Teile der Malware abstürzten. SELinux-Protokolle erfassten ausgehenden Command-and-Control-Verkehr, Shell-Ausführung und In-Memory-Code-Ausführung, die während der Untersuchung wichtige Beweise wurden, so der Bericht.
Validator-Kompromittierung ermöglichte den Brückendiebstahl
Das Protokoll sagte, der Angreifer wechselte schließlich von der kompromittierten Entwicklungsumgebung in seine operative Infrastruktur, indem er einen internen Ansible-basierten Verwaltungsdienst nutzte, der bereits privilegierten Zugriff auf Validator-Knoten hatte. Anstatt neue Anmeldeinformationen zu stehlen oder einen externen Dienst auszunutzen, nutzte der Angreifer bestehende Vertrauensbeziehungen, um bösartige Nutzlasten auf einer Teilmenge von Validatoren zu verteilen.
AFX erklärte, dass die infizierten Validator-Knoten eine zweite Stufe des Payloads von einem entfernten Server heruntergeladen haben, bevor sie die Verarbeitung von Konsensnachrichten störten. Um 21:27 Uhr UTC am 22. Juli haben die betroffenen Validatoren eine Brückentransaktion mitunterzeichnet, die ungefähr 24,15 Millionen USDC von der von AFX betriebenen Verwahrungsbrücke übertrug.
Das Protokoll erklärte, dass seine Untersuchung keine Beweise dafür gefunden habe, dass das Arbitrum-Netzwerk oder die native Brücke von Arbitrum kompromittiert worden sei. Der Angriff blieb auf die von AFX verwaltete Infrastruktur beschränkt, was mit den zuvor von Offchain Labs und Blockaid während der ersten Reaktion abgegebenen Erklärungen übereinstimmt.
On-Chain-Ermittler verfolgten später die gestohlenen USDC, nachdem sie von Arbitrum zu Ethereum bewegt wurden, wo die Erlöse in ungefähr 12.467 ETH umgewandelt wurden. Zum Zeitpunkt der ersten Untersuchung bestätigten keine öffentlichen Berichte, dass ein Teil der gestohlenen Vermögenswerte zurückerlangt worden sei.
Untersuchung deutet auf Kompromittierung der Lieferkette hin
Laut AFX zeigte der Vorfall, dass Angriffe auf die Software-Lieferkette die Blockchain-Sicherheit umgehen können, ohne Smart Contracts direkt auszunutzen. Das Protokoll kam zu dem Schluss, dass der Angriff auf vertrauenswürdige Entwicklungswerkzeuge, interne Bereitstellungssysteme und Validator-Infrastruktur beruhte, anstatt auf Schwachstellen im On-Chain-Code.
Der Bericht sagte, dass das Protokoll die betroffene Infrastruktur neu aufgebaut, operative Anmeldeinformationen rotiert, die Überwachungsempfindlichkeit erhöht und Produktionssysteme in eine isoliertere Umgebung mit Zero-Trust-Segmentierung migriert hat. Zusätzliche Arbeiten, die in den kommenden Monaten geplant sind, umfassen stärkere Verhaltensüberwachung, obligatorische Sicherheitsüberprüfungen vor dem Neustart von Produktionsdiensten, erweiterte Bedrohungssuche-Übungen und Mitarbeiterschulungen gegen Social-Engineering-Angriffe.
Basierend auf forensischen Beweisen, Angriffstechniken und Infrastruktur, die während der Untersuchung beobachtet wurden, sagte AFX, dass seine Ergebnisse mit unabhängigen Zuordnungen übereinstimmen, die den Vorfall mit UNC4899, auch bekannt als TraderTraitor, einer mit Nordkorea verbundenen Bedrohungsgruppe, die von Mandiant, Microsoft Threat Intelligence, FBI und CISA verfolgt wird, in Verbindung bringen. Das Protokoll sagte, dass es weiterhin mit externen Sicherheitspartnern zusammenarbeitet, um die gestohlenen Vermögenswerte zu verfolgen und laufende Reaktionsbemühungen zu unterstützen.
Off-Chain-Angriffe sind bei mehreren DeFi-Exploits aufgetreten
Die neuesten Erkenntnisse ergänzen eine Reihe von Vorfällen, bei denen Protokolle zu dem Schluss kamen, dass Angreifer unterstützende Infrastruktur kompromittiert haben, anstatt Schwachstellen in Smart Contracts auszunutzen.
Am 30. Juli sagte Ostium, dass seine Untersuchung zu einem separaten Exploit von 23,75 Millionen USDC ergab, dass unbefugter Zugriff auf Off-Chain-Infrastruktur betrügerische BTC-USD-Preisberichte ermöglichte, um Gelder aus seinem Liquiditäts-Tresor abzuziehen, während seine Smart Contracts und Governance-Multisigs nicht kompromittiert blieben.
Anfang dieses Monats hat auch das in Singapur ansässige Stablecoin-Zahlungsunternehmen Triple-A offengelegt, dass unbefugter Zugriff auf Treasury-Wallets mit firmeneigenen digitalen Vermögenswerten erfolgt ist, obwohl es sagte, dass Kundengelder und Zahlungsvorgänge nicht betroffen waren.
