【БітПу】Щойно сталася інцидент з безпекою контракту. Зловмисник використав вразливість у не ініціалізованому делегованому контракті EIP-7702, успішно отримавши права власника контракту, після чого безпосередньо з адреси делегатора вивів усі кошти. За даними моніторингу в мережі, цей зловмисник вже перевів 95 ETH (приблизно 28 тисяч доларів США) у Tornado Cash для змішування.
Ключовою проблемою цієї ситуації є те, що делегований контракт EIP-7702 має вразливість у процесі ініціалізації — саме через неправильну ініціалізацію під час розгортання контракту, зловмисник зміг за дуже низькою ціною отримати статус власника. Як тільки він отримав права власника, виведення коштів стало дуже простим. Після переказу коштів у Tornado Cash, слідкувати за ними стало значно важче.
Це нагадує розробникам про необхідність ретельно перевіряти процес ініціалізації при розгортанні делегованих контрактів, щоб не залишити лазівки для зловмисників. Для звичайних користувачів перед взаємодією з новими контрактами варто перевірити, чи пройшли вони аудит безпеки.
Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.
10 лайків
Нагородити
10
4
Репост
Поділіться
Прокоментувати
0/400
Web3ExplorerLin
· 6год тому
гіпотеза: патерн неініціалізованого стану тут фактично відображає стародавні міські ворота, залишені без охорони... крім того, наслідки вимірюються в ETH, а не в золото. блискуче виконання з боку атакуючого, чесно—знайшов єдину нитку, яку ніхто не тягнув перед розгортанням, і просто... потягнув її. очищення Tornado Cash — це *шефська поцілунок* театру операційної безпеки у найкращому вигляді
Переглянути оригіналвідповісти на0
PhantomMiner
· 6год тому
Це знову через неправильну ініціалізацію? Розробники цього разу повинні винести уроки...
Переглянути оригіналвідповісти на0
RooftopReserver
· 6год тому
Знову неправильна ініціалізація, цим розробникам справді потрібно бути більш уважними, 95 ETH просто так зникли, і після входу в Торнадо їх вже не повернути.
Переглянути оригіналвідповісти на0
ChainComedian
· 7год тому
Знову не правильно ініціалізовано, ця команда розробників дійсно... 95 ETH просто так зникли, змішування Tornado ще більше ускладнює відстеження. Уже казав, що режим делегування потрібно використовувати дуже обережно, але все одно хтось зірвався.
Уразливість EIP-7702 була використана, зловмисник забрав 95 ETH і переказав їх у міксер.
【БітПу】Щойно сталася інцидент з безпекою контракту. Зловмисник використав вразливість у не ініціалізованому делегованому контракті EIP-7702, успішно отримавши права власника контракту, після чого безпосередньо з адреси делегатора вивів усі кошти. За даними моніторингу в мережі, цей зловмисник вже перевів 95 ETH (приблизно 28 тисяч доларів США) у Tornado Cash для змішування.
Ключовою проблемою цієї ситуації є те, що делегований контракт EIP-7702 має вразливість у процесі ініціалізації — саме через неправильну ініціалізацію під час розгортання контракту, зловмисник зміг за дуже низькою ціною отримати статус власника. Як тільки він отримав права власника, виведення коштів стало дуже простим. Після переказу коштів у Tornado Cash, слідкувати за ними стало значно важче.
Це нагадує розробникам про необхідність ретельно перевіряти процес ініціалізації при розгортанні делегованих контрактів, щоб не залишити лазівки для зловмисників. Для звичайних користувачів перед взаємодією з новими контрактами варто перевірити, чи пройшли вони аудит безпеки.