Znacząca usterka w zakresie bezpieczeństwa naraziła na niebezpieczeństwo ponad 14 500 portfeli kryptowalutowych Tron, potencjalnie narażając na kradzież miliony dolarów w aktywach. Ta luka, szczegółowo opisana przez firmę bezpieczeństwa AMLBot w raporcie udostępnionym Cointelegraph, skompromitowała 2 130 portfeli tylko w ostatnim kwartale 2024 roku. Te portfele przechowują około 31,5 miliona dolarów w aktywach cyfrowych.
Ukryty charakter tego ataku czyni go szczególnie niebezpiecznym. W przeciwieństwie do zwykłych ataków, które szybko opróżniają środki, ten exploit pozwala atakującym na niewykrywalne kontrolowanie portfeli. Blokują oni legalne transakcje wyjściowe, skutecznie uniemożliwiając prawowitym właścicielom dostęp do ich środków. Ofiary mogą nieświadomie kontynuować deponowanie większej liczby aktywów, wzbogacając hackerów bez żadnej świadomości o naruszeniu.
Mykhailo Tiutin, dyrektor ds. technologii w AMLBot, zauważył trudność, z jaką borykają się ofiary, starając się zrozumieć, że ich portfele są skompromitowane. Anonimowa ofiara, bojąc się dalszego ataku, podzieliła się, jak zdeponowała dodatkowe 1 000 USDT na swoim portfelu, nie wiedząc o jego skompromitowanym statusie. Gdyby środki zostały od razu skradzione, byłoby to od razu widoczne.
Transakcja UpdateAccountPermission Trona jest zaprojektowana, aby wzmocnić bezpieczeństwo konta za pomocą funkcji takich jak multisig. Pozwala ona na przypisanie określonych ról do kluczy i ustalenie progów dla autoryzacji transakcji. Jednak ta funkcja staje się luką, gdy atakujący uzyskują dostęp do klucza prywatnego. Mogą oni dodawać swoje klucze, spełniając progi transakcji i skutecznie blokując prawowitych użytkowników.
Tiutin wskazuje brak powiadomienia przy dodaniu nowego klucza, co pozostawia właścicieli nieświadomymi naruszenia aż do momentu zainicjowania transakcji wyjściowej. Nawet po odkryciu problemu opcje dla ofiar są ograniczone. Natychmiastową radą jest zaprzestanie dalszych depozytów na skompromitowany cuenta.
Sattvik Kansal, współzałożyciel Rome Protocol, podkreślił powagę ataku, zauważając niemożność odzyskania środków bez prywatnego klucza atakującego. Tron jeszcze nie odpowiedział na incydent.
Legitne przeznaczenie UpdateAccountPermission pełni wiele ról. Umożliwia wspólną kontrolę konta, zmniejsza liczbę nieautoryzowanych transakcji i wspiera zdecentralizowane zarządzanie wymagając wielosygometrowych zatwierdzeń. Użytkownicy indywidualni korzystają podobnie, zabezpieczając konta za pomocą wielu kluczy.
Tron nie jest jedyny, który zmaga się z nadużywaniem funkcjonalności blockchaina. Na Ethereum, istotne funkcje takie jak "approve" i "permit" są często wykorzystywane w phishingowych oszustwach, prowadząc do znacznych strat. Scam Sniffer, firma zajmująca się bezpieczeństwem, zgłosiła stratę 9,38 miliona dolarów na rzecz phishingowych oszustw tylko w listopadzie 2024 roku, z dużymi kwotami przypisanymi do Ethereum.
Spadek w porównaniu do wcześniejszych danych dotyczących strat sugeruje poprawę w zakresie bezpieczeństwa portfeli i lepszą edukację użytkowników. Takie środki są kluczowe w zapobieganiu schematom phishingowym.
Zapobieganie wykorzystaniu UpdateAccountPermission zaczyna się od zabezpieczenia kluczy prywatnych, które są niezbędne do manipulacji uprawnieniami konta. Axel Leloup, główny badacz ds. zabezpieczeń w Dowsers, podkreślił potrzebę zrozumienia systemów uprawnień Trona i regularnego przeglądu. Zasugerował, aby bezpiecznie przechowywać klucze prywatne offline i unikać dzielenia się nimi z osobami niegodnymi zaufania.
Skompromitowany portfel anonimowej ofiary był wynikiem złej operacyjnej bezpieczeństwa, z ekspozycją klucza prywatnego w kodzie źródłowym na różnych urządzeniach. Aby dalej się zabezpieczyć, Tiutin proponuje ograniczenie ilości Tronix (TRX) w portfelach i wybór portfeli, które pozwalają na transakcje USDT bez spalania TRX, biorąc pod uwagę opłatę 100 TRX wymaganą dla funkcji UpdateAccountPermission.
Dla użytkowników Ethereum i innych blockchainów, jako że ataki phishingowe stają się coraz bardziej zaawansowane, solidne środki bezpieczeństwa pozostają kluczowe dla ochrony aktywów cyfrowych.