Annonce d’un plan de bonne volonté par AFX
AFX a annoncé qu’il préparait un plan de bonne volonté pour les utilisateurs affectés par l’exploit de 24,15 millions de dollars survenu la semaine dernière. La proposition de récupération est prévue pour le 3 août. Dans une annonce partagée par AFX, le protocole de dérivés décentralisés finalise ce plan suite à l’incident de sécurité survenu le 22 juillet et publiera les détails le lundi 3 août. L’équipe a déclaré que les investisseurs, les employés et les premiers soutiens avaient tous été touchés par l’attaque et a demandé à la communauté de faire preuve de patience pendant qu’elle finalise la proposition.
« Nous souhaitons partager une brève mise à jour avec la communauté. Un plan de bonne volonté est actuellement en cours suite au récent incident de sécurité et sera dévoilé le lundi 3 août. Les investisseurs d’AFX, l’équipe et les premiers soutiens sont tous profondément affectés par la situation, alors nous vous prions de faire preuve de patience. »
Détails de l’incident de sécurité
Cette mise à jour intervient après qu’AFX a terminé son enquête technique sur l’exploit, qui a entraîné le vol d’environ 24,15 millions de USDC d’un pont de garde géré par AFX. Le protocole n’a pas encore divulgué comment la compensation ou la récupération sera structurée, mais a déclaré que sa prochaine annonce se concentrera sur le plan de bonne volonté. Des déclarations publiques antérieures ont confirmé que l’exploit ciblait l’infrastructure gérée par AFX plutôt que le pont natif d’Arbitrum.
À l’époque, la société de sécurité blockchain Blockaid et l’équipe d’Arbitrum enquêtaient sur l’incident, tandis que le co-fondateur d’Offchain Labs, Steven Goldfeder, a déclaré que la transaction suspecte provenait d’un protocole tiers plutôt que du pont principal d’Arbitrum.
Analyse de l’attaque
Dans un rapport post-mortem détaillé publié après l’incident, AFX a déclaré que la violation provenait d’une campagne d’ingénierie sociale contre l’un de ses développeurs, plutôt que d’une vulnérabilité dans ses contrats intelligents ou son infrastructure blockchain. Selon le protocole, l’attaquant s’est fait passer pour un recruteur d’une entreprise appelée Oddium Lab le 9 juillet et a convaincu le développeur de cloner ce qui semblait être un dépôt de logiciel légitime.
AFX a déclaré que le dépôt contenait une configuration Git malveillante qui exécutait une charge utile cachée lors d’un flux de travail Git de routine, donnant à l’attaquant un point d’accès initial à l’intérieur de la station de travail du développeur.
En utilisant l’appareil compromis, l’attaquant a progressivement élargi l’accès à travers les systèmes de développement internes avant de télécharger le code source du projet plusieurs jours plus tard. L’enquête a révélé que l’attaquant avait ensuite téléchargé un plugin Groovy malveillant dans le dépôt d’artefacts JFrog du protocole, obtenant une exécution de code à distance à l’intérieur de l’environnement de livraison de logiciels.
Conséquences et mesures prises
Selon AFX, des événements répétés de manque de mémoire sur le serveur JFrog ont d’abord été traités comme des problèmes opérationnels avec l’assistance du fournisseur, permettant au plugin malveillant de survivre à plusieurs redémarrages sans déclencher de réponse de sécurité.
L’analyse judiciaire a ensuite révélé que l’attaquant avait remplacé des binaires système par des versions trojanisées, injecté des bibliothèques partagées malveillantes et tenté d’effacer les journaux de sécurité avant que des parties du malware ne plantent. Les journaux SELinux ont capturé le trafic de commande et de contrôle sortant, l’exécution de shell et l’exécution de code en mémoire, qui sont devenus des preuves importantes lors de l’enquête, selon le rapport.
Le protocole a déclaré que l’attaquant avait finalement pivoté de l’environnement de développement compromis vers son infrastructure opérationnelle en utilisant un service de gestion interne basé sur Ansible, qui détenait déjà un accès privilégié aux nœuds validateurs.
Plutôt que de voler de nouveaux identifiants ou d’exploiter un service externe, l’attaquant a utilisé des relations de confiance existantes pour déployer des charges utiles malveillantes à travers un sous-ensemble de validateurs.
Conclusion et perspectives d’avenir
AFX a déclaré que les nœuds validateurs infectés avaient téléchargé une charge utile de deuxième étape à partir d’un serveur distant avant d’interférer avec le traitement des messages de consensus. À 21h27 UTC le 22 juillet, les validateurs affectés ont co-signé une transaction de pont qui a transféré environ 24,15 millions de USDC du pont de garde géré par AFX. Le protocole a déclaré que son enquête n’avait trouvé aucune preuve que le réseau Arbitrum ou le pont natif d’Arbitrum avaient été compromis.
L’attaque est restée confinée à l’infrastructure gérée par AFX, ce qui correspond aux déclarations précédemment émises par Offchain Labs et Blockaid lors de la réponse initiale.
Des enquêteurs on-chain ont ensuite suivi les USDC volés après qu’ils aient été déplacés d’Arbitrum à Ethereum, où les fonds ont été convertis en environ 12 467 ETH. Au moment de l’enquête initiale, aucun rapport public n’a confirmé qu’une partie des actifs volés avait été récupérée.
Selon AFX, l’incident a démontré que les attaques de la chaîne d’approvisionnement logicielle peuvent contourner la sécurité blockchain sans exploiter directement les contrats intelligents. Le protocole a conclu que l’attaque s’appuyait sur des outils de développement de confiance, des systèmes de déploiement internes et une infrastructure de validateurs, plutôt que sur des faiblesses dans le code on-chain.
Le rapport a déclaré que le protocole avait reconstruit l’infrastructure affectée, fait tourner les identifiants opérationnels, augmenté la sensibilité de la surveillance et migré les systèmes de production dans un environnement plus isolé avec une segmentation de confiance zéro. D’autres travaux prévus au cours des mois à venir comprennent un suivi comportemental plus fort, des examens de sécurité obligatoires avant de redémarrer les services de production, des exercices de chasse aux menaces élargis et une formation des employés contre les attaques d’ingénierie sociale.
Sur la base des preuves judiciaires, des techniques d’attaque et de l’infrastructure observée lors de l’enquête, AFX a déclaré que ses conclusions sont cohérentes avec une attribution indépendante liant l’incident à UNC4899, également connu sous le nom de TraderTraitor, un groupe de menaces lié à la RPDC, suivi par Mandiant, Microsoft Threat Intelligence, le FBI et CISA.
Le protocole a déclaré qu’il continue de travailler avec des partenaires de sécurité externes pour tracer les actifs volés et soutenir les efforts de réponse en cours. Les dernières conclusions s’ajoutent à une série d’incidents dans lesquels les protocoles ont conclu que les attaquants avaient compromis l’infrastructure de soutien plutôt que d’exploiter des failles dans les contrats intelligents.
Le 30 juillet, Ostium a déclaré que son enquête sur un autre exploit de 23,75 millions de USDC avait révélé qu’un accès non autorisé à l’infrastructure hors chaîne avait permis à des rapports de prix frauduleux BTC-USD de vider des fonds de son coffre de liquidité, tandis que ses contrats intelligents et ses multisigs de gouvernance étaient restés intacts. Plus tôt ce mois-ci, la société de paiements en stablecoin basée à Singapour, Triple-A, a également divulgué un accès non autorisé aux portefeuilles de trésorerie détenant des actifs numériques appartenant à l’entreprise, bien qu’elle ait déclaré que les fonds des clients et les opérations de paiement n’étaient pas affectés.
