Web3 altyapı şirketi Jump Crypto ve merkezi olmayan finans (DeFi) platformu Oasis.app, Wormhole protokol korsanına karşı bir "karşı istismar" gerçekleştirdi ve ikili, 225 milyon dolarlık dijital varlığı geri aldı ve bunları güvenli bir cüzdana aktardı.
Solucan deliği saldırısı Şubat 2022'de yaklaşık 321 milyon dolar değerinde sarılmış ETH (wETH) ile gerçekleşti. bir güvenlik açığından yararlanılıyor protokolün belirteç köprüsünde.
Hacker o zamandan beri çalınan fonları taşıdı yakın zamanda sarılmış stETH (wstETH) ve Rocket Pool ETH (RETH) kasalarını açan Oasis gibi çeşitli Ethereum tabanlı merkezi olmayan uygulamalar (DApp'ler) aracılığıyla.
24 Şubat blogunda Facebook postOasis.app ekibi, "Solucan Deliği İstismarıyla ilişkili adres" ile ilgili belirli varlıkları geri almak için "İngiltere ve Galler Yüksek Mahkemesinden bir emir aldığını" belirterek, bir karşı istismarın gerçekleştiğini doğruladı.
Ekip, geri alma işleminin Blockworks Research'ün önceki bir raporunda Jump Crypto olarak tanımlanan "Oasis Multisig ve mahkeme onaylı bir üçüncü taraf" aracılığıyla başlatıldığını belirtti.
Her iki kasanın işlem geçmişi, Oasis'in 120,695 Şubat'ta 3,213 wsETH ve 21 rETH taşıdığını ve Jump Crypto'nun kontrolü altındaki cüzdanlara yerleştirdiğini gösteriyor. Bilgisayar korsanının ayrıca MakerDAO'nun Dai'sinde yaklaşık 78 milyon dolar borcu vardı (DAI) alınan stabilcoin.
"Mahkeme kararı gereği varlıkların derhal yetkili üçüncü tarafça kontrol edilen bir cüzdana aktarıldığını da doğrulayabiliriz. Bu varlıklar üzerinde hiçbir kontrolümüz veya erişimimiz yok” diye yazıyor blog yazısında.
Oasis'in kripto varlıklarını kullanıcı kasalarından alabilmesinin olumsuz sonuçlarına değinen ekip, bunun "yalnızca yönetici çoklu imza erişiminin tasarımındaki önceden bilinmeyen bir güvenlik açığı nedeniyle mümkün olduğunu" vurguladı.
İlgili: DeFi güvenliği: Güvenilir olmayan köprüler, kullanıcıların korunmasına nasıl yardımcı olabilir?
Gönderide, böyle bir güvenlik açığının bu ayın başlarında beyaz şapkalı bilgisayar korsanları tarafından vurgulandığı belirtildi.
"Bu erişimin, yalnızca olası bir saldırı durumunda kullanıcı varlıklarını korumak amacıyla orada olduğunu ve bize açıklanan herhangi bir güvenlik açığını hızlı bir şekilde düzeltmemize olanak sağlayacağını vurguluyoruz. Geçmişte veya günümüzde hiçbir zaman kullanıcı varlıklarına yetkisiz bir tarafın erişme riskiyle karşı karşıya kalmadığına dikkat edilmelidir."
— foobar (@0xfoobar) Şubat 24, 2023
Kaynak: https://cointelegraph.com/news/jump-crypto-oasis-app-counter-exploits-wormhole-hacker-for-225m