Laut einer Ankündigung des Ankr-Teams vom 5. Dezember wurde ein 1-Millionen-Dollar-Hack des Ankr-Protokolls am 20. Dezember von einem ehemaligen Teammitglied verursacht.
Der Ex-Mitarbeiter führte einen „Supply-Chain-Angriff“ durch Putting Schadcode in ein Paket zukünftiger Updates für die interne Software des Teams. Sobald diese Software aktualisiert wurde, schuf der bösartige Code eine Sicherheitslücke, die es dem Angreifer ermöglichte, den Deployer-Schlüssel des Teams vom Server des Unternehmens zu stehlen.
After-Action-Bericht: Unsere Erkenntnisse aus dem aBNBc-Token-Exploit
Wir haben gerade einen neuen Blogbeitrag veröffentlicht, der ausführlich darauf eingeht: https://t.co/fyagjhODNG
– Ankr-Einsatz (@ankrstaking) 20. Dezember 2022
Zuvor hatte das Team angekündigt, dass der Exploit sei verursacht durch einen gestohlenen Bereitstellungsschlüssel Das wurde verwendet, um die Smart Contracts des Protokolls zu aktualisieren. Aber damals hatten sie nicht erklärt, wie der Deployer-Schlüssel gestohlen worden war.
Ankr hat die örtlichen Behörden alarmiert und versucht, den Angreifer vor Gericht zu stellen. Es versucht auch, seine Sicherheitspraktiken zu verbessern, um den Zugriff auf seine Schlüssel in Zukunft zu schützen.
Aufrüstbare Verträge, wie sie in Ankr verwendet werden, beruhen auf dem Konzept eines „Eigentümerkontos“, das die alleinige Befugnis dazu hat um Upgrades, laut einem OpenZeppelin-Tutorial zu diesem Thema. Aufgrund des Diebstahlrisikos übertragen die meisten Entwickler das Eigentum an diesen Verträgen auf einen Gnosis-Safe oder ein anderes Multisignatur-Konto. Das Ankr-Team sagte, dass es in der Vergangenheit kein Multisig-Konto für den Besitz verwendet habe, dies aber von nun an tun werde, und erklärte:
„Der Exploit war teilweise möglich, weil es einen Single Point of Failure in unserem Entwicklerschlüssel gab. Wir werden jetzt Multi-Sig-Authentifizierung für Updates implementieren, die in zeitlich begrenzten Intervallen eine Freigabe von allen Schlüsselverwaltern erfordern, was einen zukünftigen Angriff dieser Art extrem schwierig, wenn nicht unmöglich macht. Diese Funktionen werden die Sicherheit für den neuen ankrBNB-Vertrag und alle Ankr-Token verbessern.“
Ankr hat auch geschworen, die Personalpraktiken zu verbessern. Es wird „eskalierte“ Hintergrundüberprüfungen für alle Mitarbeiter erfordern, auch für diejenigen, die remote arbeiten, und es wird die Zugriffsrechte überprüfen, um sicherzustellen, dass nur die Mitarbeiter auf sensible Daten zugreifen können, die sie benötigen. Das Unternehmen wird auch neue Benachrichtigungssysteme implementieren, um das Team schneller zu alarmieren, wenn etwas schief geht.
Der Hack des Ankr-Protokolls wurde zuerst entdeckt am 1. Dezember. Es erlaubte dem Angreifer, 20 Billionen Ankr Reward Bearing Staked BNB (aBNBc) zu prägen, die sofort an dezentralisierten Börsen gegen rund 5 Millionen US-Dollar in USD-Münzen getauscht wurden (USDC) und zu Ethereum überbrückt. Das Team hat erklärt, dass es plant, seine aBNBb- und aBNBc-Token an von dem Exploit betroffene Benutzer neu auszugeben und 5 Millionen US-Dollar aus seiner eigenen Staatskasse auszugeben, um sicherzustellen, dass diese neuen Token vollständig unterstützt werden.
Der Entwickler hat außerdem 15 Millionen US-Dollar bereitgestellt Repeg den HAY Stablecoin, die aufgrund des Exploits unterbesichert wurden.
Quelle: https://cointelegraph.com/news/ankr-says-ex-employee-caused-5m-exploit-vows-to-improve-security