Başlangıçta olduğu gibi rapor CryptoSlate tarafından Çarşamba sabahı erken saatlerde, önemli bir istismar binlerce kripto cüzdanının fonlarının boşaltılmasına neden oldu. Olay devam ederken ilk rapor yayınlandı; ancak, bir takip makalesi Slope FInance ile bağlantı hakkında daha fazla bilgi açıkladı.
Sonunda istismarın kaynağına ilişkin bilgiler gün ışığına çıkıyor. Slope Çarşamba akşamı bir bildiri yayınladı ve tüm cüzdan sahiplerine Slope'a aktarılan cüzdanlardaki tüm fonları taşımalarını tavsiye etti. Uyarı, “Slope'ta sahip olduğunuz bu yeni cüzdanda aynı tohum ifadesini kullanmanızı önermediğini” belirtmek için tavsiyeyi genişletti.
Birçok kullanıcının fonları tükendiğinde kullandığı bir başka Solana cüzdanı olan Phantom, “Slope Finance'e ve Slope Finance'ten hesap içe aktarmayla ilgili komplikasyonları” belirten bir açıklama yaptı.
1/ Phantom'ın, rapor edilen açıklardan yararlanmaların hesapları içe ve dışa aktarmayla ilgili komplikasyonlardan kaynaklandığına inanmak için nedenleri var. @slope_finance.
Bu olaya katkıda bulunan başka güvenlik açıkları olup olmadığını belirlemek için hala aktif olarak çalışıyoruz. https://t.co/W5B19gbMJX
— Hayalet (@hayalet) Ağustos 3, 2022
Solana Vakfı tarafından yönetilen Solana Status Twitter hesabı da Slope mobil cüzdanıyla olan ilişkiyi doğrulayan bir bildiri yayınladı.
Geliştiriciler, ekosistem ekipleri ve güvenlik denetçileri tarafından yapılan bir araştırmadan sonra, etkilenen adreslerin bir noktada Slope mobil cüzdan uygulamalarında oluşturulduğu, içe aktarıldığı veya kullanıldığı ortaya çıktı. 1/2
— Solana Durumu (@SolanaStatus) Ağustos 3, 2022
Twitter ileti dizisinde Solana Vakfı, "özel anahtar bilgilerinin yanlışlıkla bir uygulama izleme hizmetine iletildiğini" açıkladı.
Trajik bir masaldaki gümüş astar, sorunun görünmüyor bir blockchain veya tohum oluşturma sorunu olmak. Solana blok zincirinin kriptografik kanıtlarındaki bir kusur, tüm kripto ekosistemi üzerinde yıkıcı etkilere sahip olabilir. Bununla birlikte, bu artık kartlarda görünmüyor ve Solana Vakfı, “Solana protokolünün veya kriptografisinin tehlikeye atıldığına dair hiçbir kanıt olmadığını” doğruladı.
Moon Rank NFT günlüklerinin bir ekran görüntüsünde Foobar, bir Slope API çağrısına özel anahtarların ve anımsatıcı ifadelerin olası dahil edilmesini vurguladı. POST isteği SSL şifrelemesi üzerinden gönderilmiş gibi görünse de, bir çekirdek cümlenin dahil edilmiş olması rahatsız edicidir. Muhtemel bir neden, kötü niyetli bir aktörün hassas bilgileri çalmak için iki taraf arasındaki iletişimi dinleyebileceği bir ortadaki adam saldırısı olabilirdi.
MITM günlükleri @MoonRankNFT POST istekleri üzerinden Slope sunucularına geçirilen anımsatıcıyı gösterir. Cüzdan adı tamamen tesadüf pic.twitter.com/qL9C49ipvV
— foobar (@0xfoobar) Ağustos 3, 2022
Biraz endişe verici bir şekilde, kullanıcılar hala “hayatlarında Slope kullanmadıklarını” beyan ediyorlar, ancak cüzdanları hala tükendi. Kullanıcılar ayrıca Trust Wallet hesaplarının parasının çekildiğini bildirdi, ancak bu hesaplar sınırlıdır.
İstismardan kaybedilen toplam değer henüz bilinmiyor, ancak 580 milyon dolar gibi yüksek rakamlar rapor edildi. cüzdan ”, SolScan'de 570 milyon dolarlık bir bakiyeyle istismara dahil olarak işaretlendi. Bununla birlikte, bu fonların çoğu, CoinMarketCap veya CoinGecko'da izlenmeyen EXIST tokeninden geliyor, bu nedenle yararlanılan likit miktarın 10 milyon dolardan az olması muhtemel.
Binance'in kurucusu ve CEO'su CZ, şimdi Slope Finance'de cüzdan kullanan tüm kullanıcılara, "özel anahtar veya tohum cümlesi" kelimelerini anlamıyorsanız, yeni bir cüzdana veya Binance'e para taşımasını tavsiye etti.
Geçmişte bir Slope cüzdanı (SOL için) kullandıysanız, paranızı en kısa sürede farklı bir cüzdana taşıyın. Eski cüzdanı “içe aktarmayın”. Yeni bir özel anahtar veya tohum ifadesi kullanın. Bu kelimelerin ne anlama geldiğini bilmiyorsanız, SOL'unuzu şu adrese gönderin: @binance. Kolay yol. https://t.co/t1lYcgaX5z
-ÇZ? Binance (@cz_binance) Ağustos 3, 2022
Kaynak: https://cryptoslate.com/solana-exploit-tained-to-imported-slope-finance-wallets-private-keys-revealed/