AFX kündigt Goodwill-Plan nach Bridge-Hack an
AFX hat angekündigt, einen Goodwill-Plan für die Nutzer vorzubereiten, die von dem $24,15 Millionen schweren Bridge-Hack betroffen sind. Der Wiederherstellungsvorschlag soll am 3. August veröffentlicht werden. Laut einer von AFX geteilten Ankündigung finalisiert das dezentrale Derivateprotokoll diesen Plan nach dem Sicherheitsvorfall vom 22. Juli und wird die Einzelheiten am Montag, den 3. August, bekannt geben. Das Team erklärte, dass Investoren, Mitarbeiter und frühe Unterstützer alle von dem Angriff betroffen seien und bat die Community um Geduld, während der endgültige Vorschlag abgeschlossen wird.
Sicherheitsvorfall und Untersuchung
In einem kurzen Update erklärte AFX, dass der Goodwill-Plan in Arbeit ist, nachdem der kürzliche Sicherheitsvorfall stattgefunden hat. AFX-Investoren, das Team und frühe Unterstützer sind alle stark betroffen von der Situation. Das Update folgt auf den Abschluss der technischen Untersuchung des Exploits, der zum Diebstahl von etwa 24,15 Millionen USDC aus einer von AFX betriebenen Verwahrungsbrücke führte. Das Protokoll hat noch nicht bekannt gegeben, wie die Entschädigung oder Wiederherstellung strukturiert sein wird, betonte jedoch, dass die nächste Ankündigung sich auf den Goodwill-Plan konzentrieren wird.
Frühere öffentliche Erklärungen bestätigten, dass der Exploit die von AFX betriebene Infrastruktur anvisierte und nicht die native Brücke von Arbitrum. Zu diesem Zeitpunkt untersuchten die Blockchain-Sicherheitsfirma Blockaid und das Arbitrum-Team den Vorfall. Steven Goldfeder, Mitbegründer von Offchain Labs, erklärte, dass die verdächtige Transaktion von einem Drittanbieterprotokoll und nicht von der Kernbrücke von Arbitrum stammte.
Details des Angriffs
In einem detaillierten Nachbericht, der nach dem Vorfall veröffentlicht wurde, erklärte AFX, dass der Verstoß aus einer Social-Engineering-Kampagne gegen einen seiner Entwickler resultierte und nicht aus einer Schwachstelle in seinen Smart Contracts oder der Blockchain-Infrastruktur. Laut dem Protokoll gab sich der Angreifer am 9. Juli als Recruiter eines Unternehmens namens Oddium Lab aus und überzeugte den Entwickler, ein vermeintlich legitimes Software-Repository zu klonen. AFX erklärte, dass das Repository eine bösartige Git-Konfiguration enthielt, die während eines routinemäßigen Git-Workflows eine versteckte Nutzlast ausführte, wodurch der Angreifer Zugang zur Arbeitsstation des Entwicklers erhielt.
Mit dem kompromittierten Gerät erweiterte der Angreifer schrittweise den Zugriff auf interne Entwicklungssysteme, bevor er mehrere Tage später den Quellcode des Projekts herunterlud. Die Untersuchung ergab, dass der Angreifer später ein bösartiges Groovy-Plugin in das JFrog-Artefakt-Repository des Protokolls hochlud, wodurch er eine Remote-Code-Ausführung innerhalb der Softwarebereitstellungsumgebung erlangte. Laut AFX wurden wiederholte Out-of-Memory-Ereignisse auf dem JFrog-Server zunächst als betriebliche Probleme behandelt, was dazu führte, dass das bösartige Plugin mehrere Neustarts überstand, ohne eine Sicherheitsreaktion auszulösen.
Forensische Analysen ergaben später, dass der Angreifer System-Binärdateien durch trojanisierte Versionen ersetzt, bösartige Shared Libraries injiziert und versucht hatte, Sicherheitsprotokolle zu löschen, bevor Teile der Malware abstürzten.
Das Protokoll erklärte, dass der Angreifer schließlich von der kompromittierten Entwicklungsumgebung in die betriebliche Infrastruktur über einen internen Ansible-basierten Managementdienst wechselte, der bereits privilegierten Zugriff auf Validator-Knoten hatte.
Anstatt neue Anmeldeinformationen zu stehlen oder einen externen Dienst auszunutzen, nutzte der Angreifer bestehende Vertrauensverhältnisse, um bösartige Nutzlasten über eine Teilmenge von Validatoren zu verteilen. AFX erklärte, dass die infizierten Validator-Knoten eine Nutzlast der zweiten Stufe von einem Remote-Server herunterluden, bevor sie die Konsensnachrichtenbearbeitung störten. Um 21:27 Uhr UTC am 22. Juli unterzeichneten die betroffenen Validatoren eine Brückentransaktion, die etwa 24,15 Millionen USDC von der von AFX betriebenen Verwahrungsbrücke übertrug. Das Protokoll erklärte, dass seine Untersuchung keine Beweise dafür fand, dass das Arbitrum-Netzwerk oder die native Brücke von Arbitrum kompromittiert wurden.
Folgen und Maßnahmen
On-Chain-Ermittler verfolgten später die gestohlenen USDC, nachdem sie von Arbitrum nach Ethereum transferiert wurden, wo die Erlöse in etwa 12.467 ETH umgewandelt wurden. Zum Zeitpunkt der ersten Untersuchung bestätigten keine öffentlichen Berichte, dass ein Teil der gestohlenen Vermögenswerte zurückgeholt wurde. Laut AFX zeigte der Vorfall, dass Angriffe auf die Software-Lieferkette die Sicherheit von Blockchains umgehen können, ohne direkt Schwachstellen in Smart Contracts auszunutzen.
Das Protokoll kam zu dem Schluss, dass der Angriff auf vertrauenswürdige Entwicklungstools, interne Bereitstellungssysteme und Validator-Infrastruktur beruhte, anstatt auf Schwächen im On-Chain-Code. Der Bericht besagte, dass das Protokoll die betroffene Infrastruktur neu aufgebaut, betriebliche Anmeldeinformationen rotiert, die Überwachungsempfindlichkeit erhöht und Produktionssysteme in eine isoliertere Umgebung mit Zero-Trust-Segmentierung migriert hat.
Weitere Arbeiten, die in den kommenden Monaten geplant sind, umfassen eine stärkere Verhaltensüberwachung, obligatorische Sicherheitsüberprüfungen vor dem Neustart von Produktionsdiensten, erweiterte Bedrohungssuchübungen und Schulungen für Mitarbeiter gegen Social-Engineering-Angriffe.
Zusammenfassung und Ausblick
Basierend auf forensischen Beweisen, Angriffstechniken und Infrastruktur, die während der Untersuchung beobachtet wurden, erklärte AFX, dass seine Erkenntnisse mit einer unabhängigen Zuordnung übereinstimmen, die den Vorfall mit UNC4899, auch bekannt als TraderTraitor, einer mit der DPRK verbundenen Bedrohungsgruppe, die von Mandiant, Microsoft Threat Intelligence, dem FBI und CISA verfolgt wird, verknüpft. Das Protokoll erklärte, dass es weiterhin mit externen Sicherheitspartnern zusammenarbeitet, um die gestohlenen Vermögenswerte zurückzuverfolgen und die laufenden Reaktionsbemühungen zu unterstützen.
Die neuesten Erkenntnisse fügen sich in eine Reihe von Vorfällen ein, bei denen Protokolle zu dem Schluss kamen, dass Angreifer unterstützende Infrastruktur kompromittiert hatten, anstatt Schwächen in Smart Contracts auszunutzen. Am 30. Juli erklärte Ostium, dass seine Untersuchung eines separaten Exploits von 23,75 Millionen USDC ergeben hatte, dass unbefugter Zugriff auf off-chain Infrastruktur es ermöglichte, betrügerische BTC-USD-Preismeldungen zu verwenden, um Gelder aus seinem Liquiditätspool abzuziehen, während seine Smart Contracts und Governance-Multisigs unkompromittiert blieben. Anfang dieses Monats gab das in Singapur ansässige Stablecoin-Zahlungsunternehmen Triple-A ebenfalls unbefugten Zugriff auf Treasury-Wallets bekannt, die digitale Vermögenswerte des Unternehmens hielten, obwohl es sagte, dass die Kundengelder und Zahlungsoperationen nicht betroffen waren.
