Zeus Wallet wyłączył swoją infrastrukturę po złagodzeniu incydentu cyberbezpieczeństwa, oświadczając, że żadne środki klientów nie zostały utracone ani nie były zagrożone, podczas gdy przeprowadza pełny audyt systemów przed przywróceniem usług.
Podsumowanie
- Zeus Wallet wyłączył swoją infrastrukturę po złagodzeniu incydentu cyberbezpieczeństwa.
- Firma oświadczyła, że żadne środki klientów nie zostały utracone i nie zidentyfikowano podatności w oprogramowaniu węzłów Lightning.
- Użytkownicy z zamkniętymi kanałami Lightning Service Provider otrzymają zastępcze kanały po wznowieniu usług.
- Zeus przeprowadza audyt swoich systemów przed przywróceniem działania i nie podał harmonogramu.
- Incydent ma miejsce, gdy deweloperzy Bitcoina rozszerzają przeglądy bezpieczeństwa po niedawnych atakach na portfel Coldcard.
Zeus Wallet ogłosił incydent w aktualizacji z 5 sierpnia, mówiąc, że atak został opanowany w ciągu kilku godzin, ale infrastruktura pozostanie offline do czasu zakończenia kompleksowego przeglądu systemów. Portfel samodzielnie przechowujący Bitcoin Lightning Network powiedział, że jego dochodzenie jak dotąd nie wykazało dowodów na to, że incydent wynikał z podatności w oprogramowaniu węzłów Lightning.
Założyciel Evan Kaloudis powiedział w poście na blogu firmy, że śledczy obecnie uważają, że atak był ograniczony do własnej infrastruktury Zeus. Dodał, że firma nie zidentyfikowała żadnego wpływu na środki klientów i kontynuuje audyt swoich systemów przed przywróceniem usług online.
Nie podano harmonogramu przywrócenia działania.
Zeus twierdzi, że środki klientów pozostają bezpieczne
Podczas gdy infrastruktura pozostaje niedostępna, Zeus powiedział, że klienci, których kanały Lightning Service Provider (LSP) zostały zamknięte podczas incydentu, otrzymają zastępcze kanały po wznowieniu usług i przetworzeniu żądań.
Kaloudis powiedział, że incydent wzmocnił trwającą pracę Zeus nad zaufanymi środowiskami wykonawczymi, znanymi również jako enklawy, wraz z projektem Validating Lightning Signer (VLS). Według firmy, planowany projekt infrastruktury ma na celu złagodzenie tej kategorii ataków.
Chociaż Zeus opisał incydent jako atak cyberbezpieczeństwa, nie ujawnił, w jaki sposób atakujący uzyskali dostęp ani czy jakiekolwiek wewnętrzne systemy poza jego infrastrukturą zostały naruszone.
Poprzednie zakłócenie usług nastąpiło po zamknięciu Boltz
Przerwa w infrastrukturze następuje zaledwie kilka dni po tym, jak Zeus ogłosił kolejną zmianę usług wpływającą na użytkowników.
W poniedziałek portfel poinformował, że wyłączy funkcję swap po tym, jak niepowierniczy dostawca swapów Bitcoin, Boltz, zawiesił swoją platformę do odwołania. Zeus powiązał tę decyzję bezpośrednio z zamknięciem Boltz, chociaż zawieszenie swapów i incydent cyberbezpieczeństwa zostały ogłoszone osobno.
Firma nie wskazała, że te dwa zdarzenia są ze sobą powiązane.
Na razie obecnym priorytetem Zeus pozostaje ukończenie audytu wewnętrznego przed przywróceniem infrastruktury i przetworzeniem zastępczych kanałów Lightning dla dotkniętych klientów.
Przeglądy bezpieczeństwa Bitcoina przyspieszyły po atakach na Coldcard
Incydent z Zeusem ma miejsce w okresie wzmożonych przeglądów bezpieczeństwa w ekosystemie Bitcoina po niedawnych atakach na portfele Coldcard.
Wcześniej w tym tygodniu deweloper Bitcoina Calle powiedział, że kierowany przez wolontariuszy Bitcoin Red Team rozpoczął przegląd portfeli Bitcoin, bibliotek, oprogramowania infrastrukturalnego i innych projektów open-source, wykorzystując analizę wspomaganą sztuczną inteligencją połączoną z ręczną weryfikacją po incydencie z Coldcard.
Według danych udostępnionych przez grupę, recenzenci przeanalizowali 390 repozytoriów związanych z Bitcoinem w ciągu pierwszych 29,8 godzin inicjatywy, identyfikując 4962 potencjalne problemy bezpieczeństwa. Zespół sklasyfikował 720 ustaleń jako o wysokim lub krytycznym stopniu zagrożenia, jednocześnie informując, że 21,4% zidentyfikowanych problemów zostało już odtworzonych poprzez weryfikację uzupełniającą.
Calle powiedział, że kilka krytycznych luk zostało już prywatnie ujawnionych dotkniętym opiekunom projektów, a nie opublikowanych publicznie, podczas gdy przygotowywane są poprawki oprogramowania.
Wysiłek wolontariuszy obejmuje CEO AnchorWatch Roba Hamiltona i innych współpracowników Bitcoina. Calle powiedział również, że inicjatywa pochłania około 10 000 dolarów dziennie na koszty obliczeniowe, a OpenSats finansuje wysiłek, a Kimi Moonshot zapewnia konta AI i dostęp do swojego modelu Kimi K3.
Śledztwo w sprawie Coldcard trwa, gdy dotknięci użytkownicy migrują portfele
Przeglądy bezpieczeństwa nasiliły się po tym, jak śledczy powiązali ostatnie kradzieże Bitcoinów z wadą w niektórych wersjach oprogramowania sprzętowego portfela Coldcard.
Jak wcześniej poinformował crypto.news, Galaxy Research potwierdziło, że atakujący ukradli 1596 BTC z około 7300 adresów w trzech potwierdzonych falach ataków. Firma badawcza zidentyfikowała również podejrzaną czwartą skoordynowaną falę obejmującą kolejne 448,7 BTC z 709 prawdopodobnych adresów ofiar, chociaż nie dodała jeszcze tych strat do swoich potwierdzonych danych, ponieważ trwa dodatkowa weryfikacja ofiar.
Śledczy osobno poinformowali, że około 90% skradzionych Bitcoinów nie zostało przeniesionych w łańcuchu. W tym samym czasie analitycy zaobserwowali, że jeden atakujący kierował 64 BTC przez mikser Bitcoin, podczas gdy największy zidentyfikowany atakujący nadal posiada około 1159 BTC na siedmiu adresach.
Według producenta portfeli sprzętowych Coinkite, podstawowa luka Coldcard pochodziła z modyfikacji oprogramowania sprzętowego wprowadzonej w marcu 2021 roku podczas integracji nowej biblioteki kryptograficznej. Zamiast polegać na zamierzonym sprzętowym generatorze liczb losowych podczas tworzenia portfela, dotknięte wersje oprogramowania sprzętowego używały deterministycznego generatora pseudolosowego dostarczonego przez MicroPython.
Zespół inżynierii i bezpieczeństwa Bitcoin firmy Block doszedł do tego samego wniosku po niezależnym przeglądzie oprogramowania sprzętowego. Chociaż firma stwierdziła, że nie zakończyła testów empirycznych na każdym dotkniętym urządzeniu, jej analiza wykazała, że podatne oprogramowanie sprzętowe polegało na deterministycznym rozwiązaniu zastępczym podczas generowania ziarna zamiast na sprzętowym generatorze liczb losowych STM32.
Coinkite od tego czasu wydał awaryjne aktualizacje oprogramowania sprzętowego dla dotkniętych urządzeń, ale ostrzegł, że samo zainstalowanie poprawionego oprogramowania nie chroni portfeli utworzonych za pomocą podatnego oprogramowania sprzętowego. Zamiast tego użytkownicy zostali poinstruowani, aby wygenerować całkowicie nowe frazy początkowe na zaktualizowanych urządzeniach i przenieść swoje Bitcoiny na adresy pochodzące z tych nowych portfeli.
Firma dodała, że portfele pierwotnie utworzone przy użyciu co najmniej 50 prywatnych rzutów kośćmi nie są dotknięte tą konkretną wadą generowania liczb losowych, chociaż nadal zaleca migrację do nowo wygenerowanych ziaren.
