Um hack de $ 5 milhões do protocolo Ankr em 1º de dezembro foi causado por um ex-membro da equipe, de acordo com um anúncio de 20 de dezembro da equipe Ankr.
O ex-funcionário conduziu um “ataque à cadeia de suprimentos” por colocando código malicioso em um pacote de atualizações futuras para o software interno da equipe. Depois que esse software foi atualizado, o código malicioso criou uma vulnerabilidade de segurança que permitiu ao invasor roubar a chave de implantação da equipe do servidor da empresa.
Relatório pós-ação: nossas descobertas com a exploração do token aBNBc
Acabamos de lançar uma nova postagem no blog que se aprofunda sobre isso: https://t.co/fyagjhODNG
- Estaca Ankr (@ankrstake) 20 de dezembro de 2022
Anteriormente, a equipe havia anunciado que o exploit estava causado por uma chave de implantador roubada que foi usado para atualizar os contratos inteligentes do protocolo. Mas, na época, eles não haviam explicado como a chave do implantador havia sido roubada.
Ankr alertou as autoridades locais e está tentando levar o agressor à justiça. Também está tentando fortalecer suas práticas de segurança para proteger o acesso às suas chaves no futuro.
Contratos atualizáveis como os usados no Ankr dependem do conceito de uma “conta do proprietário” que tem autoridade exclusiva para fazer atualizações, de acordo com um tutorial do OpenZeppelin sobre o assunto. Devido ao risco de roubo, a maioria dos desenvolvedores transfere a propriedade desses contratos para um cofre gnosis ou outra conta de assinatura múltipla. A equipe Ankr disse que não usou uma conta multisig para propriedade no passado, mas o fará a partir de agora, afirmando:
“A exploração foi possível em parte porque havia um único ponto de falha em nossa chave de desenvolvedor. Agora vamos implementar a autenticação multi-sig para atualizações que exigirão a aprovação de todos os responsáveis pela chave durante intervalos de tempo restrito, tornando um ataque futuro desse tipo extremamente difícil, se não impossível. Esses recursos melhorarão a segurança do novo contrato ankrBNB e de todos os tokens Ankr.”
A Ankr também prometeu melhorar as práticas de recursos humanos. Isso exigirá verificações de antecedentes “escalonadas” para todos os funcionários, mesmo aqueles que trabalham remotamente, e revisará os direitos de acesso para garantir que os dados confidenciais possam ser acessados apenas pelos trabalhadores que precisam deles. A empresa também implementará novos sistemas de notificação para alertar a equipe mais rapidamente quando algo der errado.
O hack do protocolo Ankr foi descoberto pela primeira vez em 1º de dezembro. Ele permitiu que o invasor cunhasse 20 trilhões de Ankr Reward Bearing Staked BNB (aBNBc), que foi imediatamente trocado em trocas descentralizadas por cerca de US $ 5 milhões em USD Coin (USDC) e em ponte para Ethereum. A equipe declarou que planeja reemitir seus tokens aBNBb e aBNBc para usuários afetados pela exploração e gastar US$ 5 milhões de seu próprio tesouro para garantir que esses novos tokens sejam totalmente respaldados.
O desenvolvedor também desdobrou US$ 15 milhões para repeg o HAY stablecoin, que ficou sem garantia devido ao exploit.
Fonte: https://cointelegraph.com/news/ankr-says-ex-employee-caused-5m-exploit-vows-to-improve-security