Attacco alla Governance di StrongBlock
Un attaccante ha drenato circa 72.000 dollari in token STRONG e STRNGR dopo aver preso il controllo del sistema di governance on-chain abbandonato di StrongBlock attraverso una proposta malevola. Secondo la società di sicurezza blockchain Defimon Alerts, l’attaccante ha acquisito abbastanza potere di voto nella governance di StrongBlock per approvare una proposta che ha trasferito il controllo amministrativo del contratto Governor del protocollo prima che i fondi venissero rimossi.
Dirottamento della Governance – Perdita di 72.000 dollari
- Token: $STRONG
- Network: Ethereum
L’attaccante ha sfruttato il Governor on-chain abbandonato di StrongBlock. Detenendo la maggioranza del token di voto STRONG, ora quasi privo di valore, ha spinto una proposta che ha eseguito setPendingAdmin(attacker). Invece di sfruttare una falla nei contratti intelligenti di StrongBlock, l’attaccante ha utilizzato il processo di governance del protocollo stesso per ottenere accesso privilegiato. Dopo aver ottenuto i diritti di amministratore, l’attaccante ha aggiornato il proxy del Governor a una nuova implementazione che consentiva chiamate contrattuali arbitrarie utilizzando l’autorità del Governor.
L’incidente si aggiunge a una serie di eventi recenti sulla sicurezza delle criptovalute che hanno preso di mira i sistemi di governance, le infrastrutture di supporto e il software dei portafogli attraverso diversi percorsi di attacco, piuttosto che fare affidamento esclusivamente su bug nei contratti intelligenti. Prima che l’attacco si svolgesse, l’attaccante ha accumulato una maggioranza del token di governance STRONG del protocollo, che Defimon Alerts ha descritto come diventato quasi privo di valore dopo l’abbandono del progetto. Detenendo abbastanza potere di voto, l’attaccante ha presentato una proposta di governance istruendo il contratto Upgrader del Governor a eseguire setPendingAdmin(attacker), rendendo l’indirizzo dell’attaccante l’amministratore in attesa. Piuttosto che bypassare la governance, la proposta è avanzata attraverso ogni fase richiesta. Ha ricevuto voti sufficienti, è entrata in coda ed è stata eseguita secondo il normale processo di governance del protocollo, trasferendo infine il controllo amministrativo del proxy del Governor all’attaccante.
I privilegi amministrativi hanno quindi consentito all’attaccante di sostituire l’implementazione del Governor con un contratto minimo e non verificato contenente una funzione forward(address, bytes). Secondo Defimon Alerts, la funzione era limitata all’account esternamente posseduto dall’attaccante e serviva effettivamente come meccanismo di chiamata arbitraria, consentendo all’attaccante di eseguire transazioni con l’autorità del Governor attraverso i contratti di StrongBlock. I trasferimenti di token sono avvenuti nella seguente transazione. Utilizzando l’implementazione aggiornata, l’attaccante ha eseguito transazioni che hanno trasferito asset dal pool del protocollo piuttosto che sfruttare un errore nella logica del contratto del protocollo.
Defimon Alerts ha dichiarato che l’attaccante ha rimosso 32.695 token STRONG insieme a 383.447 STRNGR, portando il valore stimato degli asset rubati a circa 72.000 dollari. La società di sicurezza ha caratterizzato l’incidente come un dirottamento della governance perché ogni azione critica, incluso il cambio di amministratore e l’aggiornamento del contratto, è avvenuta attraverso permessi di governance anziché una vulnerabilità software. Sostituendo l’implementazione del Governor prima di spostare i fondi, l’attaccante ha trasformato il contratto di governance stesso nel meccanismo utilizzato per autorizzare i trasferimenti.
Incidenti di Sicurezza Recenti
Incidenti di sicurezza recenti hanno dimostrato che gli attaccanti stanno sempre più prendendo di mira diverse parti dell’infrastruttura delle criptovalute. Alla fine del mese scorso, il protocollo di perpetual decentralizzato Ostium ha concluso che gli attaccanti hanno rubato 23,75 milioni di USDC dopo aver ottenuto accesso non autorizzato alla sua infrastruttura off-chain invece di sfruttare vulnerabilità nei suoi contratti intelligenti. Secondo il post-mortem di Ostium, rapporti fraudolenti sui prezzi BTC-USD presentati attraverso infrastrutture fidate hanno consentito all’attaccante di generare profitti di trading artificiali che sono stati liquidati contro il vault di liquidità OLP pubblico del protocollo. Un’analisi precedente della società di sicurezza blockchain Blockaid ha concluso in modo simile che rapporti di oracle manipolati, piuttosto che difetti nel codice del contratto, hanno abilitato l’exploit.
Separatamente, l’incidente del portafoglio Coldcard è originato da un problema di firmware introdotto durante un aggiornamento software di marzo 2021. I team di ingegneria e sicurezza di Coinkite e Block hanno concluso che il firmware interessato generava semi di portafoglio utilizzando un generatore pseudo-casuale deterministico invece del previsto generatore di numeri casuali hardware, riducendo l’entropia utilizzata per creare chiavi private. Galaxy Research ha confermato furti totali di 1.596 BTC attraverso circa 7.300 indirizzi collegati a tre ondate di attacco. La società di ricerca ha anche identificato una quarta ondata coordinata sospetta che coinvolge altri 448,7 BTC, sebbene non abbia ancora incluso quegli indirizzi nel suo totale confermato perché la conferma di ulteriori vittime è ancora in attesa.
L’incidente Coldcard ha spinto gli sviluppatori a rivedere una porzione molto più ampia dell’ecosistema software di Bitcoin. All’inizio di questa settimana, lo sviluppatore di Bitcoin Calle ha dichiarato che il team volontario Bitcoin Red ha completato revisioni assistite da AI e manuali su 390 repository legati a Bitcoin, identificando 4.962 potenziali problemi di sicurezza, di cui 720 classificati come alta o critica gravità. Secondo Calle, circa il 21,4% delle scoperte segnalate è già stato riprodotto attraverso verifica manuale prima di essere divulgato privatamente agli sviluppatori interessati. La campagna di revisione copre portafogli Bitcoin, librerie crittografiche, software di infrastruttura e altri progetti open-source. Calle ha dichiarato che OpenSats sta finanziando circa 10.000 dollari al giorno in costi di calcolo, mentre Kimi Moonshot ha fornito account AI e accesso al suo modello Kimi K3 per supportare l’iniziativa.
A differenza dell’exploit di Ostium o dell’incidente del portafoglio Coldcard, l’attacco a StrongBlock non si è basato su infrastrutture compromesse, manipolazione di oracle o debolezze crittografiche. Invece, l’attaccante ha prima ottenuto il controllo della governance prima di modificare il contratto dell’amministratore del protocollo stesso. Secondo Defimon Alerts, l’aggiornamento del proxy del Governor a un’implementazione contenente la funzione forward(address, bytes) limitata ha conferito al portafoglio dell’attaccante l’autorità esclusiva di eseguire chiamate arbitrarie attraverso il contratto del Governor. Gli asset rubati sono stati quindi trasferiti utilizzando permessi che il protocollo stesso ha concesso dopo il completamento della proposta di governance, illustrando come i sistemi di governance abbandonati possano continuare a esercitare il controllo amministrativo sui contratti del protocollo anche dopo che l’attività di sviluppo è in gran parte cessata.
