Term Labs potwierdziło 23 sierpnia, że exploit zarządzania wpłynął na jego pule pożyczkowe. Firmy zajmujące się bezpieczeństwem blockchain oszacowały, że atakujący wyprowadził około 8,5 miliona dolarów w kryptowalutach.
Podsumowanie
- Term Labs potwierdziło, że exploit zarządzania wpłynął na jego pule, podczas gdy śledczy oceniali pełne szkody.
- CertiK oszacowało straty na około 8,5 miliona dolarów, ale Term Labs nie potwierdziło publicznie tej kwoty.
- Zidentyfikowany adres posiadał około 2 843 ETH i 1,6 miliona DAI po transakcjach ataku.
- PeckShield prześledziło początkowe finansowanie exploitanta w wysokości dwóch ETH do Tornado Cash przed rozpoczęciem transakcji w pulach.
- Term Labs nie ogłosiło odzyskania środków, warunków rekompensaty, wstrzymania kontraktów ani ukończonego raportu technicznego po incydencie.
Protokół poinformował, że prowadzi dochodzenie i później opublikuje dodatkowe informacje. Nie potwierdził szacunków strat, nie zidentyfikował dotkniętych pul ani nie wyjaśnił, w jaki sposób atakujący uzyskał kontrolę nad zarządzaniem.
Term Labs potwierdza exploit zarządzania w swoich pulach
„Jesteśmy świadomi exploita zarządzania wpływającego na pule Term” – powiedziało Term. „Podzielimy się dalszymi szczegółami po przeprowadzeniu dalszego dochodzenia”.
Oświadczenie nie zawierało informacji, czy Term Labs wstrzymało depozyty, wypłaty lub funkcje zarządzania. Nie wskazało również żadnych kontraktów, których użytkownicy powinni unikać. Żadna propozycja odzyskania środków, zobowiązanie do rekompensaty ani termin publikacji raportu po incydencie nie zostały ogłoszone w momencie przygotowywania tego raportu.
Term Labs prowadzi zdecentralizowany system pożyczkowy oparty na pożyczkach i udzielaniu pożyczek ze stałym oprocentowaniem. Jego pule strategiczne alokują zdeponowane środki poprzez zaprogramowane kontrakty. Protokół nie poinformował, czy każda pula była narażona, czy incydent dotknął tylko określone wdrożenia.
Firmy zajmujące się bezpieczeństwem szacują straty na 8,5 miliona dolarów
CertiK sklasyfikowało incydent jako atak na zarządzanie i oszacowało straty na około 8,5 miliona dolarów. Kwota ta pozostaje zewnętrznym szacunkiem, a nie liczbą potwierdzoną przez Term Labs.
PeckShield poinformowało, że exploitant wyprowadził około 2 843 ETH, wycenianych wówczas na około 6,87 miliona dolarów, oraz 1,68 miliona USDC. Według jego śledztwa atakujący następnie wymienił USDC na około 1,68 miliona DAI.
Te kwoty w dużej mierze potwierdzają szacunki CertiK. Jednak wyceny mogą się zmieniać wraz z cenami aktywów, opłatami transakcyjnymi i późniejszymi transferami. Pełne rozliczenie będzie wymagać od Term Labs zidentyfikowania każdej dotkniętej puli i uzgodnienia odpowiednich transakcji.
Ustalenia przypominają również inne niedawne ataki na fundusze kontrolowane przez protokół. W powiązanych doniesieniach, wykorzystanie luki w skarbcu Summer.fi podobno wypompowało około 6 milionów dolarów. W tym przypadku chodziło o inne kontrakty i nie ustala to, jak doszło do incydentu w Term Labs.
Mechanizm zarządzania pozostaje niepotwierdzony
Term Labs opisało to zdarzenie jako exploit zarządzania, ale ani protokół, ani cytowane firmy zajmujące się bezpieczeństwem nie opublikowały pełnego wyjaśnienia na poziomie transakcji. Nadal nie jest jasne, czy atakujący zgromadził siłę głosu, nadużył istniejącego uprawnienia, czy wykorzystał słabość w procesie propozycji.
Ataki na zarządzanie mogą pozwolić podmiotowi na użycie autoryzowanych funkcji głosowania lub administracyjnych do przeniesienia aktywów protokołu. Jak crypto.news wyjaśniło wcześniej po ataku na zarządzanie BonkDAO, słabe zasady kworum, skoncentrowana siła głosu i brak opóźnień w wykonaniu mogą narazić kontrolowane fundusze. Te ryzyka są ogólnymi przykładami, a nie potwierdzonymi przyczynami w przypadku Term Labs.
PeckShield poinformował również, że adres atakującego początkowo otrzymał 2 ETH z Tornado Cash. Transfer zaciemnia wcześniejsze źródło finansowania portfela, ale nie identyfikuje atakującego ani nie dowodzi, kto kontrolował adres.
Powiązanie z Tornado Cash należy zatem traktować jako ślad finansowania w łańcuchu, a nie ustalenie sprawcy. Śledczy będą potrzebować rejestrów giełd, klastrowania portfeli lub innych dowodów, aby powiązać adres z osobą lub organizacją.
Term Labs nadal jest winne użytkownikom harmonogram odzyskiwania
Następna zweryfikowana aktualizacja powinna ustalić, które skarbce i kontrakty zostały dotknięte. Użytkownicy potrzebują również potwierdzenia, czy depozyty, wypłaty, głosowanie w zarządzaniu i wykonywanie strategii pozostają aktywne.
Jakikolwiek plan spłaty wymagałby potwierdzonej całkowitej straty i jasnej oceny możliwych do odzyskania aktywów. Jak donosiło crypto.news po kolejnym naruszeniu DeFi, plan odzyskiwania Resupply wykorzystywał płatności ze skarbca, fundusze ubezpieczeniowe i zatwierdzenie zarządzania. Term Labs nie zaproponowało porównywalnego procesu.
Do czasu zakończenia dochodzenia kwota 8,5 miliona dolarów i zgłoszone salda aktywów pozostają szacunkami badaczy bezpieczeństwa. Jedynym potwierdzonym ujawnieniem protokołu jest to, że exploit zarządzania dotknął skarbce Term.
