Цього тижня у криптоіндустрії відбулася рідкісна позитивна подія, коли користувач відновив свої кошти після втрати 100 ETH через помилку в гаманці.
Відновлення стало можливим завдяки діям команди Safe Wallet та передбачливості розробників з білими капелюхами з Protofire.
100 ETH втрачено через помилку криптогаманця — потім відновлено вражаючою операцією порятунку
Інцидент розгорнувся, коли давній користувач Ethereum khalo_0x на X (Twitter) спробував перенести 100 ETH з Ethereum Mainnet на блокчейн Base. Вони використовували офіційний інтерфейс Safe Wallet Bridge.
За поточними курсами, коли ETH торгується за 2 635 доларів на момент написання, ця передача коштувала понад 263 500 доларів.
Незважаючи на це, критична помилка в інтерфейсі мосту дозволила перевести кошти на смартконтракт гаманець, який здавався його власним.
Однак цей гаманець контролювався іншою особою.
Корінь проблеми полягав у використанні Khalo застарілої версії Safe (v1.1.1), розгорнутої у 2020 році. Ця версія не враховувала мультичейн і не мала захистів, які зараз є стандартом у новіших версіях.
У результаті, здавалося б, зловмисник раніше розгорнув копію адреси гаманця Khalo на Base, але з іншою конфігурацією власника. Таким чином, вони ефективно захопили кошти, як тільки вони були перенесені.
«Я втратив свої заощадження за одне натискання, використовуючи Safe минулої ночі. Це після 8 років утримання ETH і уникнення шахрайств. Помилка UX в офіційній функції Bridge натякала, що адреса призначення була моїм Safe на Base. Це не так», — поскаржився Khalo у дописі.
Твіт привернув увагу криптоспільноти, включаючи команду Safe. Розробник Tschubotz.eth провів розслідування і виявив, що адреса Base, яка контролювала перенесені ETH, насправді не була зловмисною.
Застаріла версія криптогаманця відкрила шлях до міжланцюгової експлуатації
Натомість її розгорнула Protofire, фірма з розробки з білими капелюхами, яка проактивно розгорнула сотні гаманців Safe v1.1.1 на Base, щоб запобігти діям зловмисників.
«На відміну від EOAs (зовнішньо керованих акаунтів), смарт-акаунти, такі як Safe, керуються розгорнутим кодом смартконтракту. Технічно можливо розгорнути смарт-акаунт з тією ж конфігурацією розгортання (ті ж підписанти) на різних ланцюгах за тією ж адресою (використовуючи контрфактичне розгортання)… Але цей випадок був іншим… Версія смарт-акаунта з того часу (v1.1.1.) ще не була написана з урахуванням мультичейну, тому будь-хто міг розгорнути смарт-акаунт на іншому ланцюзі з абсолютно іншою конфігурацією за тією ж адресою», — пояснив співзасновник Safe Лукас Шор.
Після перевірки особи Khalo, Protofire оперативно повернула всі 100 ETH. Успішний повний переказ відбувся після тестової транзакції, вирішивши кризу всього за кілька годин після її початку.
«Це одна з найкрутіших криптоісторій, які я бачив за останній час», — сказав Хасіб Куреші, керуючий партнер Dragonfly.
Інцидент підкреслює нагальну потребу в кращих засобах захисту користувачів, оскільки криптогаманці розвиваються в мультичейн екосистемах.
Оновлена версія Safe v1.2.0 тепер включає захисти від цього типу експлойтів, змінюючи спосіб обчислення солі CREATE2 під час розгортання контракту.
Інструмент мосту також був оновлений, щоб видавати попередження, якщо на адресі призначення існує конфліктний код смартконтракту.
Проте інцидент є серйозним нагадуванням про те, що користувачі залишаються вразливими до тонких, неочевидних помилок.
«…ми все ще на етапі, коли від користувачів очікується проведення тестових транзакцій перед переміщенням більших коштів», — додав Шор.
Незважаючи на початкову травму, історія Khalo завершилася тим, що його кошти були відновлені.
Дисклеймер
Відповідно до принципів проєкту Trust Project, ця авторська стаття представляє точку зору автора і не обов'язково відображає погляди BeInCrypto. BeInCrypto залишається прихильником прозорої звітності та дотримання найвищих стандартів журналістики. Читачам рекомендується перевіряти інформацію самостійно і консультуватися з професіоналами, перш ніж приймати рішення на основі цього контенту. Зверніть увагу, що наші Загальні положення та умови, Полiтика конфіденційності та Дисклеймер були оновлені.
