هذا جزء من النشرة الإخبارية 0xresearch. لقراءة الطبعات الكاملة ، يشترك.
أدى استغلال بقيمة 1.4 مليار دولار إلى استجابة يمكن التنبؤ بها: تدفق شركات الأمن والبنية التحتية لكل منهما يزعم أن تقنيتهم قد تمنع الهجوم.
أكد مكتب التحقيقات الفيدرالي أن الاختراق كان عمل مجموعة لازاروس في كوريا الشمالية ، والتي استهدفت إعداد BYBIT SAFE {Wallet}. التفاصيل الرئيسية التي تم الكشف عنها بالأمس هي أنها كانت آلة مطور آمنة – وليس البنية التحتية لـ BYBIT – تم اختراقها ، مما يسمح للمهاجمين بإصدار رمز ضار في واجهة توقيع المعاملات.
أدى الخداع إلى موافقة موقع Bybit بشكل أعمى على صفقة احتيالية ، واستنزفوا أكبر محفظة Ethereum.
أكد باحث الأمن تايلور موناهان أن هذا الهجوم كان يمكن التنبؤ به تمامًا نظرًا لمشكلة توقيع الأعمى الطويلة في صناعة التشفير. كما لاحظت: “لا يوجد أي org في هذا المجال يأخذ الأمن على محمل الجد بما يكفي للحماية من الخصم المتفاني والمستمر والمتحمس مثل لازاروس.”
تتضمن النتائج الرئيسية:
تم اختراق واجهة مستخدم Safe {Wallet} – أظهرت واجهة Bybit معاملة متوقعة ، لكن الموقفين وافقوا بشكل غير معروف على معاملة مختلفة تمامًا.
كان التوقيع الأعمى على أجهزة دفتر الأستاذ هو الفشل النهائي – اعترف Bybit النهائي ، Ben Zhou ، بأنه لم يتحقق من المعاملة تمامًا على محفظة أجهزة دفتر الأستاذ قبل الموافقة عليها.
استهدف الهجوم الرقابة البشرية – لا يحتاج لازاروس إلى استغلال العقود الذكية أو كسر أمن التشفير ؛ لقد استفادت ببساطة من الثقة في واجهة المستخدم.
انتقد الرئيس التنفيذي السابق لـ Binance CZ استجابة Safe ، مما أثار أسئلة مهمة مثل لماذا تمكن جهاز المطور المفرد من الوصول إلى عملية معاملات Bybit؟ كيف فشلت عملية توقيع ليدجر في منع ذلك؟ وما هي الدروس الأمنية التي يجب أن تسلبها الصناعة؟
هذه كلها أسئلة جيدة ستستغرق بعض الوقت لمعالجة بالكامل.
موجة من الشركات تندفع
مع كل اختراق رفيع المستوى ، تغمر الشركات المساحة التي تدعي أن منتجاتها كانت ستوقفه. يتناول البعض القضية المحددة – التحقق الآمن للمعاملات – بينما يختفي البعض الآخر السرد للتسويق.
- Oisy (محفظة Onchain المدعومة من Dfinity)
مطالبة: امتدادات المتصفح وإدارة المفاتيح الخاصة هي الروابط الضعيفة. Oisy يلغيهم عن طريق تشغيل Onchain بالكامل.
الواقع: لم يكن للهجوم أي علاقة بملحقات المتصفح أو التعرض الخاص بالمفاتيح الخاصة – لقد كان توقيعًا أعمى. قد تكون بنية Oisy جديدة ، لكنها لا تحل المشكلة التي تسببت في هذا الاختراق.
- شبكة سحابة مستحيلة (تخزين السحابة اللامركزية)
مطالبة: كانت الخدمات السحابية المركزية (مثل AWS) السبب الجذري للاستغلال.
الواقع: في حين أن التخزين السحابي اللامركزي يمكن أن يقلل من أسطح الهجوم ، لم يتم اختراق BYBIT من خلال AWS. كانت القضية هي معالجة واجهة المستخدم الخاصة بـ Safe وتوقيع الأعمى – وليس الاختيار الخاص لمزود استضافة السحابة.
- مكعب (أمان التوقيع المدعوم بالأجهزة)
مطالبة: إنفاذ سياسات التوقيع الصارمة ، مثل العناوين المعتمدة مسبقًا ، وتأخير الحوكمة والمصادقة متعددة العوامل ، من شأنها أن تمنع هذا الاستغلال.
الواقع: هذا هو في الواقع وثيق الصلة. إذا كان BYBIT قد فرض قيود التوقيع ، فلن يتمكن Lazarus من خداعها لتوقيع معاملة ضارة.
- حبل الحرائق (إنفاذ سياسة الأمن والمعاملات المستندة إلى MPC)
مطالبة: كان نموذج أمن Bybit معيبًا بشكل أساسي-متطلبات التوقيع العمياء لدفتر الأستاذ مع ثغرة واجهة المستخدم في Safe تركها مفتوحة للهجوم. يجادل Fireblocks بأن البنية التحتية المستندة إلى MPC ومحركات السياسة والتحقق من المعاملات في الوقت الفعلي قد تخفف من هذا الخطر.
الواقع: هذا الادعاء هو واحد من أكثر الردود الصالحة. كان من شأن تطبيق سياسة Fireblocks منع الموافقات التعسفية ، مما يتطلب قواعد معاملات محددة مسبقًا تحظر المعاملات غير المتوقعة – حتى لو تم خداع الموقفين.
ومع ذلك ، هناك أيضًا خطر ، كما وضعت تايلور موناهان بأسلوبها القاسي المميز. “Fancy Multisig ، شبه توصيع ، منتج MPC ، بلاه بلاه بلاه … اجعل سطح الهجوم أكبر ، وليس أصغر.”
الدرس الحقيقي هو UI Trust هو أكبر ثقب أمني. لم يكن هجوم Bybit يتعلق بالعقود الذكية أو اللامركزية أو الأمن الرئيسي الخاص – لقد كان الأمر يتعلق بالثقة العمياء في واجهة مستخدم تعرضها للخطر.
- سياسات توقيع المعاملات الصارمة
- التحقق من المعاملات الإلزامية على محافظ الأجهزة
- تأخير الحوكمة وموافقات متعددة الطبقات
