Crypto Sleuth מקשר את Wintermute של 160 מיליון דולר לפרוץ לעבודה פנימית

בתעשיית הקריפטו, בעיות של פריצות וניצולים הפכו לאחד הסיוטים האיומים. ההתרחבות ההולכת וגוברת של מרחב הקריפטו מביאה גם לניצול נוסף. למרות אמצעי האבטחה שרוב פרוטוקולי הקריפטו בונים סביבם, השחקנים הרעים לא מפסיקים לסרוק אחר נקודות תורפה זמינות.

ב-20 בספטמבר, מקור חשף ניצול באגים בחוזה חכם של Wintermute. לפי הדיווח, ההאקר הוציא יותר מ-70 אסימוני קריפטו שונים מהפלטפורמה בשווי של כ-160 מיליון דולר.

האסימונים הגנובים כוללים 671 ביטקוין עטוף (wBTC), Tether (USDT) ומטבע דולר (USDC). ערכם של המטבעות בזמן הניצול הם 13 מיליון דולר, 29.5 מיליון ו-61.4 מיליון דולר, בהתאמה.

ניתוח האק קריפטו מצביע על שחקן פנימי

פוסט בינוני תיאר את הניתוח של הפריצה. מחבר הפוסט, ג'יימס אדוארדס, הידוע גם בשם Librehash, אמר שהפריצה הייתה מגורם פנימי. האינדוקציה שלו התבססה על האופן שבו הניצול התרחש על החוזה החכם של יצרן השוק האלגוריתמי.

Librehash טענה כי העסקאות הרלוונטיות שיזמו הכתובת בבעלות חיצונית (EOA) מעידות על מעורבות של חבר בצוות Wintermute.

תוך פירוט טענותיו, אדוארדס דיווח כי ה-EOA עורר את הפשרה על החוזה החכם של Wintermute. הוא ציין שה-EOA עצמו נפגע בגלל השימוש של הצוות בכלי מקוון פגום ליצירת כתובות יהירות.

לדברי אדוארדס, התוקף יכול לבצע שיחות על החוזה החכם של Wintermute על ידי שחזור המפתח הפרטי של ה-EOA. אבל למפתח הפרטי של ה-EOA הייתה אמורה להיות גישת מנהל.

שקיפות של Wintermute בספק

הניתוח של אדוארדס גילה שלאותו אין קוד שהועלה ומאומת. לפיכך, היא מעכבת את קלות האישור של תיאוריית ההאקרים החיצוניים על ידי הציבור. זה מגביר את החששות לגבי השקיפות של יצרן השוק האלגוריתמי.

המחבר כינה זאת כפלופ שקיפות על הפרוטוקול עצמו. הוא ציין שהחוזה החכם מנהל את כספי המשתמשים בבלוקצ'יין. לכן, הציפייה היא לאפשר לציבור לבחון ולבקר את קוד הסולידיות.

ניתוח נוסף באמצעות פירוק ידני של קוד החוזה החכם חשף יותר אמת. אדוארדס הצהיר כי הקוד אינו תואם את הסיבה המיוחסת לניצול.

כמו כן, במהלך המתקפה, הייתה העברה של 13.48M USDT לחוזה החכם 0x0248 מהחוזה החכם של Wintermute. ההאקר הוא כביכול היוצר והבקר של כתובת הנמען.

Wintermute לא חשף פרטים על המתקפה. אבל היא לקחה לטוויטר להכיר בפריצה ב-21 בספטמבר תוך הצהרה על השירות הרציף שלה לשותפיה. הוא ציין כי הפריצה לא השפיעה על החוזה החכם של DeFi, המערכות הפנימיות או נתוני צד שלישי.

תמונה מוצגת מאל בוואבה, תרשים מ TradingView.com