SCAM-AS-A-SERVICE: ZJIŠTĚNY NOVÉ ODPADKY SOLANA

Vypouštěcí nástroje, dostupné na tržištích scam-as-a-service, mohou převrátit podmíněnou transakci v rámci on-chain transakce.

Web3 bezpečnostní firma Blowfish zjistila dva nové odkapávače Solana, které mohou provádět bit-flip útoky, podle analýzy z 9. února sdílené na platformě sociálních médií X.

Vypouštěcí programy, Aqua a Vanish, byly označeny jako modifikující podmínku v rámci dat v řetězci, a to i poté, co byl k podpisu transakce použit soukromý klíč uživatele. Podle Blowfish je skript odčerpávačů k dispozici za poplatek na tržištích nabízejících nástroje typu scam-as-a-service.

Tým Blowfish rozebral metodu používanou odkapávači k převrácení dat a krádeži finančních prostředků: „Na Solaně může dApp získat oprávnění k odeslání transakce. Pokud on-chain program dApp obsahuje podmínku, která mu umožňuje odeslat uživateli SOL nebo vyprázdnit jeho účet, odvodňovací program může tuto podmínku kdykoli přehodit,“ píše se v analýze.

Odkapávače si uživatelé zpočátku nevšimnou. Oběť podepíše to, co se zdá být platnou transakcí. Po obdržení podpisu však odkapávač transakci dočasně zadrží. „Potom prostřednictvím samostatné transakce přepnou podmínku dApp; jde od toho, že se zdá, že posíláte SOL, k přijímání.“

Bit-flip útok je forma zneužití, kdy útočník změní hodnotu některých bitů v zašifrovaných datech za účelem manipulace se systémem. Umožňuje útočníkovi upravit zašifrovanou zprávu, aniž by znal šifrovací klíč. Otočením konkrétních bitů může útočník někdy zprávu po dešifrování změnit předvídatelným způsobem.

Rostoucí počet odčerpávačů kryptoměn se zaměřil na ekosystém Solana. Podle Chainalysis měla jedna z největších online komunit věnovaných jedné sadě Solana odkapávače peněženek k lednu více než 6 000 členů. Brian Carter, hlavní zpravodajský analytik Chainalysis, řekl Cointelegraphu v předchozím rozhovoru, že nejúspěšnější odvodňovací sady mohou různými způsoby cílit na mnoho aktiv.