Аналіз першої великої безпекової події 2024 року: атака на Orbit Chain на 80 мільйонів доларів

2025-07-03 08:45:19

Аналіз найбільшої безпекової події на початку року: проект Orbit Chain зазнав збитків у 80 мільйонів доларів

1 січня 2024 року платформа міжланцюгового мосту Orbit Chain зазнала значної атаки безпеки, внаслідок якої втрати склали близько 80 мільйонів доларів США. Дані платформи моніторингу безпеки показують, що зловмисники почали невелику пробну атаку ще за день до цього, використавши вкрадену невелику кількість ETH для покриття комісії за транзакції для подальшої великомасштабної атаки.

Наразі команда проекту вжила термінових заходів, призупинивши роботу контракту міжланцюгового мосту та намагаючись зв’язатися з атакуючими. Експерти з безпеки провели глибокий аналіз цього інциденту, ось основні висновки:

Аналіз методів атаки

Атакуючи в основному переміщують активи, безпосередньо викликаючи функцію withdraw у контракті моста Orbit Chain. Ця функція використовує механізм перевірки підпису, щоб забезпечити легітимність операції виведення. Конкретніше:

функція withdraw підтверджує легітимність транзакції шляхом перевірки підпису.
Під час верифікації буде повернуто кількість підписів власника.
Якщо кількість підписів досягає або перевищує встановлений поріг, дозволяється виведення коштів.

Згідно з даними на блокчейні, цей контракт управляється 10 адресами адміністраторів, з яких потрібно, щоб щонайменше 7 адміністраторів (70%) підписали, щоб виконати операцію з виведення.

Експерти припускають, що ця подія, ймовірно, сталася через те, що сервер, на якому зберігалися приватні ключі адміністратора, зазнав атаки обману.

Хронологія атак

30 грудня 2023 року 15:39:35 (UTC): Зловмисники почали невелику пробну атаку на Orbit Chain, викрадаючи невелику кількість ETH та розподіляючи її на інші адреси зловмисників як комісію.
31 грудня 2023 року о 21:00 (UTC): кілька атакуючих адресів одночасно здійснили масовану атаку на різні криптоактиви Orbit Chain, включаючи DAI, WBTC, ETH, USDC та USDT.

Напрямок потоків капіталу

Станом на момент публікації звіту, вкрадені кошти були переведені на 5 різних адрес. Конкретні суми такі:

50 мільйонів доларів США стейблкоінів (30 мільйонів USDT, 10 мільйонів DAI, 10 мільйонів USDC)
231 wBTC (приблизно вартістю 10 мільйонів доларів)
9500 ETH (приблизно вартістю 21,5 мільйона доларів США)

Безпекове повідомлення

Ця подія ще раз підкреслила важливість безпеки проектування системи блокчейн:

Безпека коду: Код контракту, як основа блокчейн-системи, повинен суворо дотримуватися найкращих практик безпеки, щоб уникнути поширених уразливостей.
Управління доступом: посилити механізми автентифікації, впровадити багатопідпис та суворий контроль доступу, щоб запобігти несанкціонованим діям.
Постійний моніторинг: створити систему моніторингу в реальному часі для виявлення та реагування на потенційні загрози.
Надзвичайна реакція: розробити вдосконалений план надзвичайних ситуацій, щоб мати можливість швидко реагувати під час події та звести до мінімуму втрати.

Ця подія нагадує нам, що, незважаючи на швидкий розвиток технології блокчейн, питання безпеки залишається одним із найбільших викликів, з якими стикається галузь. Проектні команди, розробники та користувачі повинні залишатися вкрай пильними та спільно підтримувати безпеку екосистеми.

Переглянути оригінал

This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.

14 лайків