Ein Angreifer hat etwa 72.000 US-Dollar an STRONG- und STRNGR-Token abgezogen, nachdem er die verlassene On-Chain-Governance von StrongBlock durch einen bösartigen Vorschlag übernommen hatte.
Zusammenfassung
- Ein Angreifer hat etwa 72.000 US-Dollar abgezogen, nachdem er die verlassene Governance von StrongBlock übernommen hatte.
- Ein bösartiger Vorschlag gab dem Angreifer die Admin-Kontrolle über den Governor-Vertrag des Protokolls.
- Der Angreifer hat den Governor-Vertrag aktualisiert, bevor er 32.695 STRONG- und 383.447 STRNGR-Token stahl.
- Der Vorfall beruhte auf Governance-Kontrolle und nicht auf einer Schwachstelle im Smart Contract.
- Der Angriff folgt auf jüngste Sicherheitsverletzungen im Krypto-Bereich, die Governance, Infrastruktur und Wallet-Software betrafen.
Laut der Blockchain-Sicherheitsfirma Defimon Alerts erlangte der Angreifer genügend Stimmkraft in der Governance von StrongBlock, um einen Vorschlag durchzubringen, der letztendlich die administrative Kontrolle über den Governor-Vertrag des Protokolls übertrug, bevor die Gelder entfernt wurden.
Anstatt einen Fehler in den Smart Contracts von StrongBlock auszunutzen, nutzte der Angreifer den eigenen Governance-Prozess des Protokolls, um privilegierten Zugriff zu erlangen. Nach Erhalt der Administratorrechte aktualisierte der Angreifer den Governor-Proxy auf eine neue Implementierung, die beliebige Vertragsaufrufe mit der Autorität des Governors ermöglichte.
Der Vorfall reiht sich in eine Serie jüngster Sicherheitsvorfälle im Krypto-Bereich ein, die Governance-Systeme, unterstützende Infrastruktur und Wallet-Software über verschiedene Angriffspfade ins Visier genommen haben, anstatt sich ausschließlich auf Smart-Contract-Fehler zu verlassen.
StrongBlock-Governance wurde genutzt, um die Kontrolle über das Protokoll zu erlangen
Bevor der Angriff stattfand, akkumulierte der Angreifer eine Mehrheit des STRONG-Governance-Tokens des Protokolls, das laut Defimon Alerts nach der Aufgabe des Projekts fast wertlos geworden war.
Mit genügend Stimmkraft reichte der Angreifer einen Governance-Vorschlag ein, der den Upgrader-Vertrag des Governors anwies, setPendingAdmin(attacker) auszuführen, wodurch die Adresse des Angreifers zum vorläufigen Administrator wurde.
Anstatt die Governance zu umgehen, durchlief der Vorschlag alle erforderlichen Phasen. Er erhielt genügend Stimmen, wurde in die Warteschlange aufgenommen und gemäß dem normalen Governance-Prozess des Protokolls ausgeführt, wodurch die administrative Kontrolle über den Governor-Proxy letztendlich auf den Angreifer übertragen wurde.
Die administrativen Privilegien ermöglichten es dem Angreifer dann, die Governor-Implementierung durch einen minimalen, nicht verifizierten Vertrag mit einer forward(address, bytes)-Funktion zu ersetzen.
Laut Defimon Alerts war die Funktion auf das extern verwaltete Konto des Angreifers beschränkt und diente effektiv als Mechanismus für beliebige Aufrufe, der es dem Angreifer ermöglichte, Transaktionen mit der Autorität des Governors über StrongBlocks Verträge auszuführen.
Die Token-Transfers erfolgten in der folgenden Transaktion.
Mehr als 400.000 Token wurden aus dem Pool entfernt
Mit der aktualisierten Implementierung führte der Angreifer Transaktionen aus, die Vermögenswerte aus dem Pool des Protokolls übertrugen, anstatt einen Fehler in der Vertragslogik des Protokolls auszunutzen.
Defimon Alerts gab an, dass der Angreifer 32.695 STRONG-Token zusammen mit 383.447 STRNGR entfernte, was den geschätzten Wert der gestohlenen Vermögenswerte auf etwa 72.000 US-Dollar bringt.
Die Sicherheitsfirma charakterisierte den Vorfall als Governance-Übernahme, da jede kritische Aktion, einschließlich der Administratoränderung und der Vertragsaktualisierung, über Governance-Berechtigungen und nicht über eine Software-Schwachstelle erfolgte.
Indem der Angreifer die Governor-Implementierung vor der Bewegung der Gelder ersetzte, machte er den Governance-Vertrag selbst zum Mechanismus, der zur Autorisierung der Transfers verwendet wurde.
Governance-Angriffe unterscheiden sich von jüngsten Krypto-Exploits
Jüngste Sicherheitsvorfälle haben gezeigt, dass Angreifer zunehmend verschiedene Teile der Krypto-Infrastruktur ins Visier nehmen.
Ende letzten Monats kam das dezentrale Perpetuals-Protokoll Ostium zu dem Schluss, dass Angreifer 23,75 Millionen USDC gestohlen haben, nachdem sie sich unbefugten Zugang zu seiner Off-Chain-Infrastruktur verschafft hatten, anstatt Schwachstellen in seinen Smart Contracts auszunutzen.
Laut Ostiums Post-Mortem ermöglichten betrügerische BTC-USD-Preisberichte, die über vertrauenswürdige Infrastruktur eingereicht wurden, dem Angreifer, künstliche Handelsgewinne zu erzeugen, die gegen den öffentlichen OLP-Liquiditätspool des Protokolls abgerechnet wurden. Eine frühere Analyse der Blockchain-Sicherheitsfirma Blockaid kam ebenfalls zu dem Schluss, dass manipulierte Oracle-Berichte und nicht Fehler im Vertragscode den Exploit ermöglichten.
Separat dazu hat der Coldcard-Wallet-Vorfall seinen Ursprung in einem Firmware-Problem, das bei einem Software-Update im März 2021 eingeführt wurde. Die Bitcoin-Engineering- und Sicherheitsteams von Coinkite und Block kamen zu dem Schluss, dass die betroffene Firmware Wallet-Seeds mit einem deterministischen pseudozufälligen Generator anstelle des vorgesehenen Hardware-Zufallszahlengenerators erzeugte, wodurch die Entropie reduziert wurde, die zur Erstellung privater Schlüssel verwendet wird.
Galaxy Research hat Diebstähle in Höhe von insgesamt 1.596 BTC über etwa 7.300 Adressen bestätigt, die mit drei Angriffswellen in Verbindung stehen. Das Forschungsunternehmen hat auch eine mutmaßliche vierte koordinierte Welle mit weiteren 448,7 BTC identifiziert, hat diese Adressen jedoch noch nicht in seine bestätigte Gesamtsumme aufgenommen, da die Bestätigung weiterer Opfer noch aussteht.
Coldcard-Überprüfung hat sich zu bitcoinweiten Sicherheitsprüfungen ausgeweitet
Der Coldcard-Vorfall hat Entwickler dazu veranlasst, einen viel größeren Teil des Bitcoin-Software-Ökosystems zu überprüfen.
Anfang dieser Woche sagte der Bitcoin-Entwickler Calle, dass das freiwillige Bitcoin Red Team KI-gestützte und manuelle Überprüfungen in 390 Bitcoin-bezogenen Repositories abgeschlossen habe und dabei 4.962 potenzielle Sicherheitsprobleme identifiziert habe, darunter 720, die als hoch oder kritisch eingestuft wurden.
Laut Calle wurden etwa 21,4 % der gemeldeten Befunde bereits durch manuelle Verifizierung reproduziert, bevor sie den betroffenen Entwicklern privat offengelegt wurden.
Die Überprüfungskampagne umfasst Bitcoin-Wallets, kryptografische Bibliotheken, Infrastruktursoftware und andere Open-Source-Projekte. Calle sagte, OpenSats finanziere etwa 10.000 US-Dollar pro Tag an Rechenkosten, während Kimi Moonshot KI-Konten und Zugang zu seinem Kimi-K3-Modell bereitgestellt habe, um die Bemühungen zu unterstützen.
Governance blieb die Angriffsfläche
Im Gegensatz zum Ostium-Exploit oder dem Coldcard-Wallet-Vorfall stützte sich der StrongBlock-Angriff nicht auf kompromittierte Infrastruktur, Oracle-Manipulation oder kryptografische Schwächen.
Stattdessen erlangte der Angreifer zunächst die Kontrolle über die Governance, bevor er den eigenen Administratorvertrag des Protokolls modifizierte.
Laut Defimon Alerts verschaffte das Upgrade des Governor-Proxys auf eine Implementierung, die die eingeschränkte Funktion forward(address, bytes) enthielt, der Wallet des Angreifers die alleinige Autorität, beliebige Aufrufe über den Governor-Vertrag auszuführen.
Die gestohlenen Vermögenswerte wurden dann mit Berechtigungen übertragen, die das Protokoll selbst nach Abschluss des Governance-Vorschlags gewährt hatte, was veranschaulicht, wie verlassene Governance-Systeme weiterhin administrative Kontrolle über Protokollverträge ausüben können, selbst nachdem die Entwicklungsaktivität weitgehend eingestellt wurde.
