Liminal blâme WazirX pour le piratage de juillet et déclare que son interface utilisateur n'était pas responsable

Le fournisseur de portefeuille de calcul multipartite (MPC) Liminal a publié un rapport post-mortem le 19 juillet sur le piratage WazirX du 18 juillet, affirmant que son interface utilisateur

Le fournisseur de technologie de calcul multipartite (MPC) Liminal a publié un rapport post-mortem le 19 juillet rapport sur le piratage WazirX du 18 juillet, contestant l'affirmation de la bourse selon laquelle son interface utilisateur était responsable de l'attaque.

Selon le rapport de Liminal, le piratage s'est produit parce que trois appareils WazirX ont été compromis. Les appareils ont été utilisés pour initier des transactions qui ont ensuite été modifiées par l'attaquant avant d'être envoyées aux serveurs de Liminal pour approbation.

Liminal a également affirmé que son portefeuille multisignature avait été configuré pour fournir une quatrième signature si WazirX fournissait les trois autres. Cela signifiait que l’attaquant n’avait besoin que de compromettre trois appareils pour mener l’attaque. Le portefeuille a été configuré de cette manière à la demande de WazirX, a affirmé le fournisseur de portefeuille.

Dans une publication sur les réseaux sociaux du 18 juillet, WazirX a affirmé que ses clés privées étaient sécurisées avec des portefeuilles matériels. Cependant, WazirX a déclaré que l'attaque « provenait d'une divergence entre les données affichées sur l'interface de Liminal et le contenu réel de la transaction. »

Selon le rapport de Liminal, l'un des appareils de WazirX a initié une transaction valide impliquant le jeton Gala Games (GALA). En réponse, le serveur de Liminal a fourni un « safeTxHash », vérifiant la validité de la transaction. Cependant, l’attaquant a ensuite remplacé ce hachage de transaction par un hachage invalide, provoquant l’échec de la transaction.

De l'avis de Liminal, le fait que l'attaquant ait pu modifier ce hachage implique que l'appareil WazirX avait déjà été compromis avant la tentative de transaction.

L'attaquant a ensuite initié deux transactions supplémentaires : une GALA et une Tether (USDT ) transfert. Dans chacune de ces trois transactions, l'attaquant a utilisé un compte administrateur WazirX différent, pour un total de trois comptes utilisés. Les trois transactions ont échoué.

Après avoir lancé ces trois transactions ayant échoué, l'attaquant a extrait les signatures des transactions et les a utilisées pour lancer une nouvelle, quatrième transaction. La quatrième transaction "a été conçue de telle manière que les champs utilisés pour vérifier les politiques utilisaient des détails de transaction légitimes" et "utilisait le Nonce de la transaction USDT ayant échoué car il s'agissait de la dernière transaction".

Parce qu'il a utilisé ces « détails de transaction légitimes », le serveur Liminal a approuvé la transaction et a fourni une quatrième signature. En conséquence, la transaction a été confirmée sur le réseau Ethereum, entraînant un transfert de fonds du portefeuille multisig commun vers le compte Ethereum de l'attaquant.

Liminal a nié que ses serveurs avaient provoqué l'affichage d'informations incorrectes via l'interface utilisateur de Liminal. Au lieu de cela, il a affirmé que les informations incorrectes avaient été fournies par l'attaquant, qui avait compromis les ordinateurs WazirX. En réponse à la question posée : « Comment l'interface utilisateur a-t-elle affiché une valeur différente de la charge utile réelle au sein de la transaction ? » Liminal a déclaré :

Liminal a également affirmé que ses serveurs étaient programmés pour fournir automatiquement une quatrième signature si les administrateurs de WazirX fournissaient les trois autres. "Liminal ne fournit la signature finale qu'une fois que le nombre requis de signatures valides est reçu du côté du client", précise-t-il, ajoutant que dans ce cas, "la transaction a été autorisée et signée par trois des employés de notre client."

Le multisig Le portefeuille "a été déployé par WazirX selon leur configuration bien avant d'être intégré à Liminal" et a été "importé" dans Liminal "à la demande de WazirX." qu'il avait mis en œuvre des « fonctionnalités de sécurité robustes ». Par exemple, il était exigé que toutes les transactions soient confirmées par quatre détenteurs de clés sur cinq. Quatre de ces clés appartenaient aux employés de WazirX et une à l'équipe Liminal. De plus, trois des détenteurs de clés WazirX devaient utiliser des portefeuilles matériels. Toutes les adresses de destination devaient être ajoutées à l'avance à une liste blanche, a déclaré WazirX, qui était "réservée et facilitée sur l'interface par Liminal".

Malgré toutes ces précautions, l’attaquant « semble avoir violé ces dispositifs de sécurité, et le vol a eu lieu ». WazirX a qualifié l’attaque d’« événement de force majeure indépendant de [its] contrôle ». Malgré cela, il a juré de « ne négliger aucun effort pour localiser et récupérer les fonds ».

On estime que 235 millions de dollars ont été perdus dans l’attaque WazirX. Il s'agit du plus grand piratage d'échange centralisé depuis l'exploit DMM du 31 mai, qui a entraîné des pertes encore plus importantes de 305 millions de dollars.

Magazine : Les pirates de WazirX se sont préparés 8 jours avant l'attaque, les escrocs ont falsifié un fiat pour l'USDT : Asia Express

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!