Хакерська атака Munchables: Руйнування та зворотний удар

Хакерська атака Munchables виявилася набагато гіршою, ніж здавалося

У вівторок, 26 березня, проект GameFi на основі Ethereum NFT Munchables повідомив про хакерську атаку, що вичерпала понад 17 400 ETH (приблизно 63 мільйони доларів) з його сховища. Протягом п`яти годин розслідування стало зрозуміло, що атака прийшла зсередини: найнятий розробник з псевдонімом `Вовки0943` вилучив кошти. Люди, що працюють у проекті та видають за них фонди, в криптоспільноті — це дуже поширена практика, тому термін `rugpull` є загальним сленгом, — але унікальність цієї ситуації полягає в тому, що найняті руки, як стверджується, мали зв`язки з Північною Кореєю.

Це уривок з бюлетеня The Node, щоденна підбірка найважливіших новин крипто на CoinDesk та за його межами. Ви можете підписатися, щоб отримати повний бюлетень тут.

Після години переговорів, які проводили Munchables, разом з незалежним вивченням блокчейну ZachXBT та безпечною фірмою PeckShield, Вовки0943 було переконано повернути всі кошти. `Розробник Munchables поділився всіма використовуваними приватними ключами, щоб допомогти відновленню коштів користувачів. Зокрема, ключ, який містить 62 535 441,24 долара США, ключ, який містить 73 WETH, і власників ключі, які містять решту коштів,` — команда Munchables опублікувала о 4:40 за UTC.

Хоча це, здається, щасливе рішення відносно відносно невеликого величини хаку, експлуатація Munchables може мати довготривалі негативні наслідки для криптопромислу. Найважливіше — хоча ще не підтверджено, що Північна Корея беззаперечно була втягнута в атаку, чистий факт того, що багато людей були готові прийняти це як даність, допомагає далі поширювати небезпечну наратив, що крипто допомагає руйнувати національну оборону та підтримувати терористичні організації.

Дані з 2016 по 2023 роки, зібрані фірмою аналізу on-chain Chainalysis, показали, що у минулому році Північна Корея взломала принаймні 20 криптоплатформ, викравши трохи більше 1 мільярда доларів вартості активів лише в минулому році. Окремий звіт від TRM Labs в основному підтвердив ці результати. `Взломи, що мають відношення до Північної Кореї, зростали протягом останніх кількох років, з кібершпигунськими групами, такими як Kimsuky та Lazarus Group, які використовують різні злочинні тактики для придбання великої кількості криптоактивів,` — сказала Chainalysis у своєму звіті.

Раніше проведені дослідження показали, що злочинці, що мають зв`язок з Північною Кореєю, використовували мільярди доларів украдених криптоактивів для фінансування ядерної програми Мистецької країни. Ці атаки були суттєвим чинником, чому Міністерство фінансів США здійснило негативний крок, санкціонуючи смарт-контракт криптоміксера Tornado Cash та чому сенатор Елізабет Уоррен (Д-Массачусетс) може з чистою совістю назвати крипто `загрозою для національної безпеки`.

`Маючи на увазі: найбільша загроза для крипто-політики безумовно полягає в твердженні, що Північна Корея фінансує свою ракетну програму, взламуючи смарт-контракти,` — написав голова Variant Fund Джейк Червінські на X. Якщо крипто буде заборонено, то `Це буде викликано все більш поширеним поглядом серед протикриптових політиків на те, що крипто не має використання, крім газу і злочину, і що ризики дозволу крипто існувати далеко перевершують потенційні вигоди, які обіцяли розробники блокчейн на протязі років`

Атака Munchables тільки додає до цього враження. Фактично, це трохи гірше тим, що це не був зовнішній актор, що експлуатував слабо написаний код, а повний провал необхідної готовності со сторони багатомільйонного блокчейн-проєкту при наймі розробників. Це надає зовсім нового зворотного боку ідеї `соціальної інженерії`, коли видимі загрози можуть не тільки маніпулювати внутрішнім елементом для критичної інформації, але й отримувати оплату за перебування на внутрішній стороні

За словами Ethereum розробника 0xQuit, атака Munchables була спланована з самого початку. Атака змогла оновити `блок-контракт`, призначений для збереження коштів проекту під замком протягом певного періоду часу, так що він міг `призначити собі депонований баланс у 1 000 000 етеру`, приховуючи при цьому докази змін, стверджує 0xQuit.

Глядачі вимагали, щоб оператори мережі втрутилися і відкрутили ланцюг, щоб відновити вкрадені кошти.

`Хоча я міцно проти цієї дії на будь-якому іншому ланцюгу, я не розглядаю Blast як як `по-справжньому децентралізоване ланцюжок`, але як місце для ігор, експериментів, дегенерність і т. д.,` — сказав впливовий голос у Ethereum колах та партнер Cinneamhain Ventures Адам Кокран на підтримку можливого відкручування.

Не сумніваючись, Blast є спірним мережевим агрегатом — таким, що зібрав понад мільярд доларів навіть без прототипу — але він зовсім не відрізняється від того, як будуються інші шари OP Stack layer 2. Наприклад, після того, як Ерік Уолл нагадав своїм підписникам, що Blast та мережа Base від Coinbase, в суті, виконують тихий список коду, головний розробник Base Джессі Поллак твітнув, що ключі Base не контролює жодна сторона або сутність. Натомість, Base контролюється 2/2 мульті-сіг гаманцем, який, теоретично, також може відкрутити ланцюг, якщо обидві сторони погоджуються.

Наразі жодне рішення масштабування Ethereum не є справжньо `децентралізованим` у загальному розумінні, навіть якщо команди, що їх розробляють, як правило, дотримуються принципів необмеженого доступу та нецензорення користувачів. У певному сенсі, як нотує Червінський, багато політиків, які `розуміють різницю між централізованою та децентралізованою технологією`, виберуть останню, оскільки забезпечує, що засновники залишаються під контролем того, що відбувається на ланцюгу.

`Але в остаточному рахунку, відповідальність лежить на будівельниках в галузі, щоб робити краще,` — додав він.