TLDR

  • Celem ataku polegającego na przejęciu DNS było wiele protokołów DeFi, w tym Compound Finance i Celer Network.

  • Wygląda na to, że celem ataku są domeny zarejestrowane w Squarespace.

  • Ponad 220 interfejsów protokołu DeFi może nadal być zagrożonych.

  • Uważa się, że napastnicy używają zestawu portfela Inferno Drainer do kradzieży środków.

  • Zasugerowano pewne środki bezpieczeństwa, takie jak wymaganie podpisów portfela w przypadku aktualizacji DNS, aby zapobiec przyszłym atakom.

11 lipca 2024 r. kilka protokołów zdecentralizowanych finansów (DeFi) zostało dotkniętych atakiem polegającym na przejęciu DNS. Incydent dotknął głównych graczy w przestrzeni kryptograficznej, w tym Compound Finance i Celer Network.

Eksperci ds. bezpieczeństwa uważają, że celem ataku są domeny zarejestrowane w Squarespace, popularnym narzędziu do tworzenia stron internetowych i platformie hostingowej.

Atak został po raz pierwszy zauważony, gdy użytkownicy zgłosili, że witryna Compound Finance (compound.finance) przekierowuje na złośliwą stronę.

Ta fałszywa strona zawierała aplikację „drenującą” zaprojektowaną w celu kradzieży tokenów kryptowaluty użytkowników. Wkrótce potem firma Celer Network ogłosiła, że ​​ona również stała się celem, ale jej system monitorowania domen wychwycił atak, zanim zdążył się powieść.

Firma zajmująca się bezpieczeństwem Blockchain, Blockaid, uważnie monitoruje sytuację. Według Ido Ben-Natana, współzałożyciela i dyrektora generalnego Blockaid, napastnicy zaatakowali rekordy DNS hostowane w Squarespace. Zapisy te zostały przekierowane na adresy IP znane ze szkodliwych działań.

⚠ Rozwijająca się sytuacja – wiele interfejsów DeFi jest zagrożonych przejęciem, przy czym miało już miejsce kilka incydentów, a projekty takie jak @compoundfinance i @CelerNetwork zostały zhakowane w ciągu ostatnich 24 godzin.

W miarę upływu czasu będziemy aktualizować ten wątek, podając szczegóły. pic.twitter.com/iWQR0ByIgB

— Blockaid (@blockaid_) 11 lipca 2024 r

Ben-Natan stwierdził, że chociaż pełny zakres porwania nie jest jeszcze znany, około 228 interfejsów protokołu DeFi może nadal być zagrożonych.

Uważa się, że atak był dziełem grupy znanej jako Inferno Drainer. Grupa ta była aktywna od jakiegoś czasu, obierając za cel różne protokoły DeFi i wykorzystując różne luki.

Ich zestaw portfeli umożliwia cyberprzestępcom nakłonienie użytkowników do podpisania złośliwych transakcji, dając atakującym kontrolę nad ich zasobami cyfrowymi.

Badacze bezpieczeństwa zidentyfikowali wspólną infrastrukturę wykorzystywaną przez grupę Inferno Drainer, co ułatwia śledzenie i identyfikację powiązanych ataków.

Blockaid ściśle współpracuje ze społecznością kryptograficzną, aby utrzymać otwarty kanał zgłaszania zaatakowanych witryn.

Incydent wywołał dyskusję na temat poprawy środków bezpieczeństwa protokołów DeFi. Matthew Gould, założyciel dostawcy domen Web3 Unstoppable Domains, zasugerował utworzenie zweryfikowanych rekordów w łańcuchu dla domen. Dodałoby to dodatkową warstwę ochrony przeglądarek i innych systemów do sprawdzenia, pomagając zmniejszyć ryzyko ataków DNS.

Gould zaproponował także nową funkcję, w której aktualizacje DNS wymagałyby podpisu z portfela użytkownika. Utrudniłoby to hakerom zadanie, ponieważ musieliby osobno włamać się do rejestratora i portfela użytkownika.

W odpowiedzi na atak kilka projektów i platform kryptograficznych podjęło działania. MetaMask, popularny portfel Web3, ogłosił, że pracuje nad ostrzeganiem użytkowników o potencjalnie zainfekowanych aplikacjach powiązanych z atakiem.

Użytkownicy próbujący dokonać transakcji w dowolnej znanej witrynie objętej bieżącym atakiem zobaczą ostrzeżenie dostarczone przez Blockaid.

Ci z Was, którzy korzystają z MetaMask, zobaczą ostrzeżenie od @blockaid_, jeśli spróbują dokonać transakcji na jakiejkolwiek znanej stronie, która jest zaangażowana w bieżący atak.#mmsecurityhttps://t.co/Fk0sAjaeit

— MetaMaska ???????? (@MetaMask) 11 lipca 2024 r

Społeczność kryptograficzna zebrała się, aby szerzyć świadomość i minimalizować potencjalne szkody. Deweloper DefiLlama 0xngmi udostępnił listę ponad 100 protokołów DeFi, na które może mieć wpływ atak, w tym dobrze znane nazwy, takie jak Pendle Finance, dYdX, Polymarket i LookRare.

Wpis dotyczący przejęcia DNS, którego celem jest wiele protokołów DeFi, pojawił się jako pierwszy na Blockonomi.