Три роки старий баг призвів до втрати 1,3 мільйона доларів і зупинки блокчейну на 10 днів

Звичайна рефакторизація коду Radix створила вразливість у сховищі, що дозволила вкрасти приблизно 1,3 мільйона доларів, а пізніше змусила валідаторів зупинити блокчейн.

Фонд Radix повідомив 17 вересня, що команда розробників RDX Works ввела дефект під час очищення Radix Engine у червні 2023 року, програмного шару, що виконує транзакції та забезпечує право власності на активи в мережі. Вразливість залишалася непоміченою більше трьох років, поки зловмисник не скористався нею 31 серпня.

Реконструкція книги обліку спільноти показує, що зловмисник вивів близько 458 915 USDC, 72 420 USDT, 61,08 ETH, 6,35 обгорнутого біткоїна, 536,16 SOL та 32,91 BNB через 26 транзакцій. Активи коштували приблизно 1,26 мільйона доларів за ринковими цінами на 31 серпня, а зловмисники також забрали ще 13 000 XRD зі сховища для сплати комісій за транзакції. Лише ці два стейблкоїни становили близько 531 335 доларів.

Викрадені активи були відправлені через Hyperlane до Ethereum, BNB Chain та Solana, а потім продані за ETH, повідомив Radix. Hyperlane працював відповідно до призначення: зловмисник вже отримав активи через Radix Engine перед тим, як використати міст для їх переміщення в інше місце. Жодні приватні ключі не були скомпрометовані.

Однак негайні втрати не відображали потенційної експозиції. Розслідувачі Radix дійшли висновку, що цю вразливість можна було використати проти будь-якого сховища в мережі, що ставило під загрозу токени та інші активи, які не були об'єктом атаки.

В результаті валідатори мережі навмисно вивели достатньо частки з онлайну, щоб запобігти досягненню консенсусу та зупинити додаткові транзакції, поки розробники працювали над виправленням.

Пропуск аудиту Radix перетворює баг на системний збій

Вразливість вже пережила незалежний огляд безпеки, перш ніж зловмисник її виявив.

Zellic провела аудит протоколу Radix у 2024 році, включаючи ядро двигуна, що містить дефект. Огляд не виявив вразливість авторизації, хоча вразливий код був введений під час рефакторингу попереднього року.

Баг змінив спосіб, яким двигун обробляв посилання на сховища. Транзакція могла ідентифікувати сховище іншого користувача за його внутрішньою адресою та передати це посилання в спеціально створений код смарт-контракту. Двигун потім дозволяв викликати звичайні функції виведення без належного забезпечення межі власності, яка повинна була відхилити запит.

Це дало зловмиснику доступ до активів, що належать обліковим записам користувачів, додаткам та ліквідним пулам, без отримання підписів власників.

Фонд повідомив, що зловмисник завершив 26 транзакцій експлуатації між 16:02 та 16:57 UTC 31 серпня. Як тільки розслідувачі визначили, що вразливість існувала на рівні виконання, а не в одному додатку, валідатори координувалися, щоб зупинити фіналізацію транзакцій.

Зупинка тривала більше 10 днів. Виправлення протоколу додало перевірки, що забороняють використання обмеженого посилання на сховище для звичайного виведення, і транзакції користувачів відновилися 11 вересня, згідно з реконструкцією книги обліку спільноти.

Інцидент також призвів до вторинних втрат у ліквідних пулах після того, як зловмисник вилучив об'єднані активи з одного боку торгових пар. Спотворені ціни дозволили іншому обліковому запису витягти мільйони XRD з постраждалих пулів, що показує, як збій на рівні виконання може продовжувати завдавати економічної шкоди навіть після того, як початкові активи покинули мережу.

Radix повідомив, що додає регресійні тести, зміцнює процес перевірки безпеки та формалізує надзвичайну процедуру, яку валідатори використовували для зупинки активності мережі.

Фонд також зазначив, що майбутня робота з безпеки повинна враховувати все більш потужні інструменти аналізу коду з підтримкою штучного інтелекту, які, на його думку, могли допомогти зловмиснику виявити багаторічний дефект.

Для розробників і валідаторів наступним викликом є запобігання подібним рутинним роботам з обслуговування, які можуть тихо змінювати припущення безпеки, які можуть бути пропущені зовнішніми аудитами.

Це завдання виходить за межі виправлення експлуатованого коду. Radix тепер має зміцнити процес перевірки змін у логіці авторизації, відновлюючи довіру серед користувачів і постачальників ліквідності, активи яких в кінцевому підсумку залежать від правильного виконання цих меж.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.