Chainflip втратив 736 442,17 USDT через шість несанкціонованих виплат після того, як зловмисник використав вразливість в обробці службових записок транзакцій TRON.
Chainflip заявив в оновленні про інцидент від 13 вересня, що атака була спрямована на його інтеграцію TRON USDT у ранкові години 12 вересня. Кросчейн-протокол призупинив роботу, поки його розробники розслідували транзакції та готували виправлення.
Один легітимний користувацький обмін на суму 115 654,41 USDT залишається неоплаченим. Chainflip заявив, що кошти все ще зберігаються в його сховищі та можуть бути вивільнені після перезапуску мережі. Протокол повідомив, що жодні інші кошти не постраждали.
Цифра втрат і послідовність атаки представляють поточні висновки Chainflip. Станом на 13 вересня жодної незалежної оцінки безпеки, що підтверджує повний звіт, опубліковано не було.
Chainflip використовує службові записки транзакцій (transaction memos) для читання інструкцій щодо обміну, доданих до переказів TRON. На більшості інших підтримуваних блокчейнів протокол отримує інструкції через спеціальні функції смарт-контрактів.
Згідно зі звітом про інцидент, зловмисник знайшов спосіб прикріпити нову службову записку до транзакції, яку валідатори Chainflip вже підписали. Системи Chainflip інтерпретували додану записку як окрему інструкцію щодо обміну. Коли нова інструкція виявлялася невдалою, протокол видавав повернення коштів.
Оригінальний депозит вже призвів до виплати. Обробка зміненої записки, таким чином, призвела до того, що Chainflip здійснив виплату за тим самим депозитом вдруге.
Chainflip пояснив недолік власною обробкою службових записок транзакцій TRON. Протокол не повідомляв про компрометацію блокчейну TRON, смарт-контракту USDT або резервної системи Tether.
Зловмисник повторив метод вісім разів протягом приблизно 90 хвилин. Chainflip заявив, що перші спроби використовували невеликі суми. Кожна наступна спроба була майже вдвічі більшою за попередню.
Лише шість спроб призвели до несанкціонованих виплат на загальну суму 736 442,17 USDT. Протокол не опублікував індивідуальні хеші транзакцій, адреси гаманців призначення або розбивку шести платежів у своєму попередньому звіті.
Chainflip виявив інцидент після того, як наступні платежі USDT почали зазнавати невдач. Розробники тоді відстежили причини невдач до повторної обробки депозитів через змінені службові записки.
Протокол призупинив мережеву активність, оскільки досліджував, чи може ця вразливість вплинути на інші активи або інтеграції. Його попередній огляд виявив, що експлойт був обмежений TRON USDT і що кошти, що залишилися у сховищі, були в безпеці.
Chainflip описав цей інцидент як свою першу критичну подію безпеки, пов'язану з вилученням коштів зі сховищ протоколу. Попередні операційні проблеми не спричиняли порівнянних втрат з цих сховищ, згідно з проєктом.
Пауза в мережі перешкоджає завершенню обмінів, поки розробники готують перезапуск. Chainflip не повідомляв про окремі втрати для користувачів, чиї транзакції були перервані через зупинку.
Екстрені призупинення використовувалися іншими блокчейн-сервісами, поки розробники ізолювали збої безпеки. У супутньому матеріалі crypto.news повідомило, що Liquid Network відновила генерацію блоків після екстреного оновлення, тоді як перекази та операції прив'язки залишалися обмеженими після повідомлення про виведення 320 мільйонів доларів.
Chainflip не виявив зв'язку між двома інцидентами. Звіт Liquid Network стосується окремого сайдчейна Bitcoin та іншої технічної системи.
Chainflip заявив, що постраждалі користувачі отримають повне відшкодування, хоча протокол не вибрав і не опублікував свій метод відшкодування станом на 13 вересня. Команда повідомила, що кілька варіантів залишаються на розгляді.Неоплачена транзакція на 115 654,41 USDT не зараховується до шести несанкціонованих виплат. Її кошти залишаються у сховищі, і Chainflip очікує обробити обмін після відновлення операцій.
Тим часом протокол повідомив відповідні сторони про викрадені кошти, намагаючись відстежити або повернути доходи, коли вони переміщуються між адресами та сервісами. Chainflip не назвав сторони, не розкрив, чи використовував зловмисник централізовані біржі, і не підтвердив, чи були заморожені якісь USDT.
Tether може заморожувати адреси, що містять його токени, діючи відповідно до застосовних юридичних або правозастосовних процесів. Як повідомляло crypto.news в окремому матеріалі, Tether допоміг владі США обмежити понад 52 мільйони доларів у криптовалюті під час непов'язаної дії Міністерства юстиції.
На момент публікації не було виявлено жодної публічної заяви від Tether або TRON щодо атаки на Chainflip. У повідомленні Chainflip не зазначалося, чи допомагала будь-яка з цих організацій відстежувати кошти.
Протокол планує почати покривати збитки користувачів після безпечного перезапуску. Його попередня заява не встановлювала дату платежу та не пояснювала, чи надходитиме компенсація з казначейських активів, страховки чи іншого джерела.
Chainflip заявив, що основне виправлення було завершено, але розробникам ще потрібно було узгодити точну процедуру перезапуску. Мережа залишатиметься призупиненою «щонайменше до понеділка», що робить 14 вересня найранішою можливою датою відновлення, а не підтвердженим часом запуску.
Перед повторним відкриттям команда планує остаточно визначити технічний план перезапуску, розроблений для уникнення подальших проблем з обробкою. Chainflip не розголошував, чи знадобиться валідаторам нове програмне забезпечення, скоординоване оновлення або голосування управління.
Після відновлення роботи системи протокол очікує обробити відкладений обмін на 115 654,41 USDT та розпочати обробку компенсацій для користувачів, чиї кошти були виплачені зловмиснику.
Повний технічний звіт буде опубліковано після того, як план перезапуску буде затверджено, а мережа працюватиме безпечно, повідомив Chainflip. Протокол не оголосив термін публікації цього звіту.
USDT
