Πώς κόπηκαν γρήγορα 80M USR

Η Resolv ανέφερε ότι οι επιτιθέμενοι δημιούργησαν 80M USR και εξήγαγαν περίπου $25M σε ETH πριν οι υπηρεσίες διακοπούν και η πρόσβαση ανακληθεί.

Η Resolv έχει δημοσιεύσει νέες λεπτομέρειες σχετικά με την παραβίαση ασφαλείας της 22ας Μαρτίου 2026. Το πρωτόκολλο ανέφερε ότι οι επιτιθέμενοι δημιούργησαν 80 εκατομμύρια USR μέσω μη εξουσιοδοτημένων συναλλαγών.

Τα δημιουργημένα tokens στη συνέχεια ανταλλάχθηκαν σε ETH μέσω αποκεντρωμένων ανταλλακτηρίων. Η Resolv ανέφερε ότι η συνολική αξία που αφαιρέθηκε ήταν περίπου $25 εκατομμύρια.

Η Επίθεση Ξεκίνησε Εκτός των Βασικών Συστημάτων της Resolv

Η Resolv ανέφερε ότι η επίθεση ξεκίνησε εκτός της άμεσης υποδομής της. Ένας ανάδοχος είχε εργαστεί προηγουμένως σε ένα ξεχωριστό έργο τρίτου μέρους.

Αυτό το έργο παραβιάστηκε αργότερα και ένα σχετικό διαπιστευτήριο GitHub εκτέθηκε. Οι επιτιθέμενοι στη συνέχεια χρησιμοποίησαν αυτό το διαπιστευτήριο για να εισέλθουν σε ορισμένα αποθετήρια της Resolv.

Αφού απέκτησαν πρόσβαση, οι επιτιθέμενοι τοποθέτησαν μια επιβλαβή ροή εργασίας μέσα στο περιβάλλον του αποθετηρίου.

Η Resolv ανέφερε ότι η ροή εργασίας έκλεψε διαπιστευτήρια χωρίς να ενεργοποιήσει ειδοποιήσεις εξερχόμενης κίνησης. 

Οι επιτιθέμενοι αργότερα αφαίρεσαν τη δική τους πρόσβαση από το αποθετήριο. Αυτό το βήμα φαίνεται να μείωσε τα ίχνη μετά την αρχική εισβολή.

Τα κλεμμένα διαπιστευτήρια άνοιξαν μια διαδρομή στο περιβάλλον cloud της Resolv. Από εκεί, οι επιτιθέμενοι εξέτασαν τις υπηρεσίες και αναζήτησαν περισσότερα κλειδιά.

Προσπάθησαν επίσης να αποκτήσουν πρόσβαση σε ενσωματώσεις τρίτων μερών. Η Resolv περιέγραψε το γεγονός ως μια επίθεση πολλαπλών σταδίων σε διάφορα συστήματα.

Η Πρόσβαση Υπογραφής Ενεργοποίησε τη Δημιουργία 80M USR

Ο στόχος των επιτιθέμενων ήταν να αποκτήσουν εξουσία υπογραφής για λειτουργίες δημιουργίας. Η Resolv ανέφερε ότι οι πρώτες προσπάθειες μπλοκαρίστηκαν από τα υπάρχοντα μέτρα ελέγχου πρόσβασης.

Ωστόσο, οι επιτιθέμενοι συνέχισαν να κινούνται μέσω του συστήματος cloud. Αργότερα βρήκαν μια διαδρομή μέσω ενός ρόλου υποδομής υψηλότερου επιπέδου.

Σύμφωνα με την αναφορά, αυτός ο ρόλος μπορούσε να τροποποιήσει την πολιτική πρόσβασης κλειδιού. Μόλις άλλαξε η πολιτική, οι επιτιθέμενοι απέκτησαν εξουσία υπογραφής.

Αυτό τους έδωσε τη δυνατότητα να ολοκληρώσουν ενέργειες δημιουργίας. Το συμβόλαιο Counter χρησιμοποιήθηκε στη συνέχεια για τις μη εξουσιοδοτημένες συναλλαγές.

Η πρώτη παράνομη δημιουργία έλαβε χώρα στις 02:21:35 UTC. Η Resolv ανέφερε ότι η συναλλαγή δημιούργησε 50 εκατομμύρια USR.

Οι επιτιθέμενοι στη συνέχεια άρχισαν να ανταλλάσσουν τα tokens σε ETH σε πολλά πορτοφόλια. Μια δεύτερη δημιουργία ακολούθησε στις 03:41 UTC και δημιούργησε άλλα 30 εκατομμύρια USR.

Η Resolv ανέφερε ότι το σύστημα παρακολούθησής της εντόπισε την πρώτη ασυνήθιστη συναλλαγή σε πραγματικό χρόνο. Η ομάδα στη συνέχεια άρχισε να προετοιμάζει μια απάντηση σε συστήματα backend και on-chain.

Επειδή η παραβίαση αφορούσε πρόσβαση στην υποδομή, η ομάδα χρειαζόταν να προσδιορίσει τη διαδρομή που χρησιμοποιήθηκε. Αυτή η εξέταση διαμόρφωσε τα πρώτα βήματα περιορισμού.

Διαβάστε Επίσης:

Ανάκαμψη και Έλεγχος Ασφαλείας της Resolv

Η ομάδα διέκοψε τις υπηρεσίες backend πριν διακόψει τα έξυπνα συμβόλαια. Στις 05:16 UTC, η ομάδα διέκοψε όλα τα συμβόλαια με λειτουργίες παύσης.

Στις 05:30 UTC, η ομάδα ασφαλείας ανακάλεσε τα παραβιασμένα διαπιστευτήρια σε ολόκληρο το σύστημα cloud. Η Resolv ανέφερε ότι τα αρχεία καταγραφής έδειξαν δραστηριότητα επιτιθέμενων έως τις 05:15 UTC.

Μετά τον περιορισμό, το πρωτόκολλο ξεκίνησε ενέργειες ανάκαμψης on-chain. Η Resolv ανέφερε ότι περίπου 46 εκατομμύρια USR έχουν εξουδετερωθεί.

Το πρωτόκολλο χρησιμοποίησε άμεσες καύσεις και λειτουργίες μαύρης λίστας μετά το απαιτούμενο timelock. Η έρευνα για την υπόλοιπη παράνομα δημιουργημένη προσφορά εξακολουθεί να είναι ενεργή.

Η Resolv αποζημιώνει τους κατόχους USR πριν το hack σε αναλογία 1:1. Η ομάδα έχει ήδη επεξεργαστεί τις περισσότερες επιλέξιμες εξαργυρώσεις, ενώ συνεχίζει να χειρίζεται τις υπόλοιπες.

Ταυτόχρονα, οι περισσότερες λειτουργίες του πρωτοκόλλου παραμένουν σε παύση μέχρι νεότερη ανακοίνωση. Η εταιρεία ανέφερε ότι δίνει προτεραιότητα στην ασφάλεια των εξασφαλίσεων και στην επεξεργασία εξαργυρώσεων.

Η αναφορά ανέφερε ότι η παραβίαση δεν προκλήθηκε από μία μεμονωμένη αδυναμία. Αντίθετα, οι επιτιθέμενοι συνδύασαν μικρότερα κενά σε τρίτα μέρη και δικαιώματα cloud.

Η Resolv σχεδιάζει τώρα ανώτατα όρια δημιουργίας on-chain και ελέγχους τιμών oracle. Σχεδιάζει επίσης αυτοματοποιημένα συστήματα παύσης και αυστηρότερους κανόνες πρόσβασης GitHub.