Orbit Chain кросчейн міст зазнав атаки, збитки сягнули 80 мільйонів доларів

1 січня 2024 року велика подія безпеки блокчейну привернула широке увагу в галузі. Згідно з даними платформи моніторингу ризиків безпеки, проект Orbit Chain зазнав серйозної атаки, оцінювані збитки становлять до 80 мільйонів доларів. Ця подія підкреслила величезні виклики, які стоять перед проектами блокчейну, особливо платформами кросчейн міст у питаннях безпеки.

Orbit Chain є платформою кросчейн мосту, яка дозволяє користувачам переміщувати криптоактиви між різними блокчейнами. Після виявлення атаки команда проекту швидко вжила заходів, зупинивши роботу контракту кросчейн мосту, і намагалася зв'язатися з нападниками.

Після первинного аналізу експертів з безпеки, основним способом атаки виявилося те, що зловмисники безпосередньо викликали функцію withdraw у контракті мосту Orbit Chain, що дозволило їм успішно перевести велику кількість активів. Глибше дослідження показало, що функція withdraw використовує механізм перевірки підпису для забезпечення законності передачі активів. Проте цей механізм, який мав би забезпечити безпеку, став слабким місцем для зловмисників.

Дизайн контракту вимагає підписання принаймні 70% адміністраторів (тобто 7 з 10 адміністраторів) для виконання операції виведення. Цей механізм мультипідпису мав би забезпечити додаткову безпеку, але в цьому випадку він не спрацював. Експерти припускають, що зловмисник, можливо, якимось чином отримав достатню кількість приватних ключів адміністраторів, щоб обійти цей механізм безпеки.

Важливо зазначити, що ця атака не сталася миттєво. Згідно з аналізом даних у блокчейні, зловмисники почали невелику пробну атаку ще за день до цього, використовуючи ці початково отримані кошти для покриття комісії за транзакції для подальшої великомасштабної атаки.

У головній атаці зловмисники націлилися на кілька криптовалют, зокрема DAI, WBTC, ETH, USDC та USDT. Конкретно, зловмисники через п'ять незалежних транзакцій перемістили близько 50 мільйонів доларів стабільних монет (включаючи 30 мільйонів Tether, 10 мільйонів DAI та 10 мільйонів USDC), 231 wBTC вартістю близько 10 мільйонів доларів, а також 9500 ETH вартістю близько 21,5 мільйона доларів на різні адреси гаманців.

Ця подія знову забила на сполох у безпеці блокчейн-індустрії. Вона підкреслює важливість пріоритету безпеки при проектуванні та впровадженні блокчейн-систем. Особливо в проектах кросчейн мостів, що обробляють великі обсяги активів користувачів, безпека є критично важливою.

Для проектів на основі блокчейн забезпечення безпеки коду контрактів є вкрай важливим. Це не лише включає дотримання найкращих практик програмування, але й потребує всебічного аудиту безпеки. Водночас потужні механізми автентифікації та управління правами доступу також є необхідними. Механізми, такі як багатопідпис та рівнів доступу, можуть ефективно знизити ризики несанкціонованого доступу та втрати активів.

Крім того, регулярна оцінка безпеки та механізми реагування на надзвичайні ситуації також є важливими аспектами, на які повинні звертати увагу проектні команди. У разі виникнення безпекового інциденту здатність швидко реагувати та звести до мінімуму збитки є критично важливою для підтримання довіри користувачів та репутації проекту.

З розвитком технологій блокчейн і розширенням їхнього застосування подібні виклики безпеки можуть продовжувати виникати. Тому всій галузі потрібно спільно працювати над підвищенням стандартів безпеки, розробкою більш безпечних і надійних рішень для забезпечення безпеки активів користувачів і здорового розвитку екосистеми блокчейн.