'การตรวจสอบไม่ใช่กระสุน': Audius ถูกแฮ็กมูลค่า 6 ล้านเหรียญใน Ethereum Tokens อย่างไร

บริการเพลงสตรีมมิ่งแบบกระจายอำนาจ ผู้ชม ถูกแฮ็กมูลค่ากว่า 6 ล้านเหรียญจาก AUDIO สัญญาณ ในช่วงสุดสัปดาห์ซึ่งผู้โจมตีขโมยมาจากการปกครอง สัญญาสมาร์ท. ใน รายงานชันสูตรพลิกศพ เผยแพร่เมื่อปลายวันอาทิตย์ บริการนี้ให้รายละเอียดเกี่ยวกับการโจมตีและการตอบสนอง—และตั้งข้อสังเกตว่าบั๊กที่ยังไม่ถูกค้นพบถูกนำไปใช้ประโยชน์แม้จะมีการตรวจสอบความปลอดภัยในอดีต

ตามรายงาน แฮ็กเกอร์แตะจุดบกพร่องในรหัสเริ่มต้นสัญญาอัจฉริยะที่อนุญาตให้จัดการบริการ Ethereum-ตามหลักธรรมาภิบาล การปักหลัก และการมอบหมายสัญญา สัญญาอัจฉริยะคือรหัสที่ขับเคลื่อนแอปพลิเคชันแบบกระจายศูนย์ (dapps) เข้า Web3ทำให้แอป เกม และโปรโตคอลทำงานได้โดยไม่ต้องมีตัวกลางแบบรวมศูนย์

ด้วยโมเดลการกระจายอำนาจนั้น Audius ใช้ ERC-20 . บน Ethereum สัญญาณ (AUDIO) เพื่อให้เกิดธรรมาภิบาลชุมชน อย่างไรก็ตาม โมเดลนี้ถูกนำไปใช้ประโยชน์ในที่สุดในวันเสาร์ ผู้โจมตีได้เปลี่ยนโครงสร้างการลงคะแนนเสียงของ Audius และพยายามมอบโทเค็น AUDIO จำนวน 10 ล้านล้านโทเค็นให้กับพวกเขา กระเป๋าสตางค์ เพื่อผลักดันข้อเสนอด้านการกำกับดูแล

การเคลื่อนไหวเหล่านี้ไม่ส่งผลกระทบต่อการจัดหาโทเค็น AUDIO เฉพาะระบบการปักหลักโทเค็นของแพลตฟอร์มเท่านั้น อย่างไรก็ตาม มันอนุญาตให้ผู้โจมตีผ่านข้อเสนอการกำกับดูแลที่ส่งโทเค็นพูลของชุมชนทั้งหมด—เกือบ 18.6 ล้านโทเค็นเสียง—ไปยัง Ethereum ภายนอก กระเป๋าสตางค์. โทเค็นมีมูลค่ารวมกันเกือบ 6.1 ล้านดอลลาร์ในช่วงเวลาของการปล้น

ตามไทม์ไลน์ของเหตุการณ์ที่แชร์โดย Audius ทีมงานโครงการได้รับการแจ้งเตือนถึงการโจมตีประมาณ 25 นาทีหลังจากการโอนโทเค็น ทีมงานจึงรีบนำนามแฝง แฮ็กเกอร์หมวกขาว samczsun ของกระบวนทัศน์ของบริษัท VC—ใครมี ช่วยขัดขวางได้สำเร็จ ความพยายามในการใช้ประโยชน์จากสัญญาอัจฉริยะที่ผ่านมา—เพื่อช่วยในการตอบกลับ

เมื่อตระหนักว่าการใช้ประโยชน์จากช่องโหว่ยังคงมีอยู่ ทีมงานได้พัฒนาโปรแกรมแก้ไขที่แตะจุดอ่อนเดียวกันเพื่อหยุดการใช้งานในที่สุด และใช้เวลาหลายชั่วโมงต่อจากนี้ในการปรับใช้แพตช์เพื่อหยุดการโจมตีใดๆ เพิ่มเติม ทีมงานยังคงพัฒนาการแก้ไขในระยะยาว โดยจะมีการอัพเดทเพิ่มเติมในสัปดาห์นี้

ในรายงานชันสูตรพลิกศพ ทีมงาน Audius เปิดเผยอย่างตรงไปตรงมาเกี่ยวกับข้อบกพร่องหรือการกำกับดูแลที่อาจเกิดขึ้นซึ่งอาจทำให้การโจรกรรมและ/หรือตอบสนองช้าลง

ตัวอย่างเช่น ทีมงานไม่ได้ใช้งานโค้ด Solidity/Ethereum Virtual Machine (EVM) อย่างจริงจังมาเกือบสองปีแล้ว ทีมเขียนว่า "ต้องใช้เวลาในการกู้คืนทุกสิ่งที่นี่" โดยสังเกตว่าทีมจะ "สอดคล้องกับเครื่องมือ dev/debugging ที่ทันสมัยที่สุด" ในอนาคต

อย่างไรก็ตาม สัญญาอัจฉริยะของ Audius ได้รับการตรวจสอบโดยกลุ่มความปลอดภัย—ครั้งแรกโดย OpenZeppelin ในเดือนสิงหาคม 2020 โดยมีการเพิ่มสัญญาเพิ่มเติมซึ่งตรวจสอบโดย Kudelski ในเดือนตุลาคม 2021 ถึงกระนั้น ช่องโหว่ดังกล่าวยังคงเปิดในที่สาธารณะเป็นเวลาเกือบสองปีนับตั้งแต่มีสัญญาครั้งแรก นำไปใช้ในเดือนตุลาคม 2020

“การตรวจสอบไม่ใช่การกันกระสุน” ทีมงานเขียน โดยสังเกตว่าเวลาของสัญญาที่ใช้ไปในป่าโดยไม่มีปัญหา “สามารถช่วยสร้างความมั่นใจ แต่ไม่ได้ตัดโอกาสสำหรับการแสวงประโยชน์”

ในขณะที่โทเค็นมีมูลค่ารวมกันมากกว่า 6 ล้านดอลลาร์ ผู้โจมตีทำการแลกเปลี่ยนเพื่อมูลค่าที่ต่ำกว่ามากของ Ethereum บางทีอาจจะรีบฟอกเงิน โทเค็นถูกซื้อขายเพียง 704 Wrapped Ethereum (WETH) มูลค่าประมาณ 1.07 ล้านดอลลาร์—ในคืนวันเสาร์ ผ่านทาง unswap, การนำ การแลกเปลี่ยนแบบกระจายอำนาจ.

หลังจากนั้นผู้โจมตีส่ง ETH เกือบทั้งหมดผ่าน เงินสดทอร์นาโดซึ่งเป็นบริการผสมที่รวมเหรียญจากหลายธุรกรรมเพื่อทำให้การติดตามเส้นทางของกองทุน crypto บน blockchain ยากขึ้น