Анализ хакера WazirX: Причины и Виновные
WazirX, индийская биржа, 18 июля 2024 года потеряла более 230 миллионов долларов средств клиентов из-за хакера. Этот недавний инцидент привел к обнаружению дополнительной информации после того, как псевдонимный блокчейн-аналитик Boring Sleuth раскрыл дефекты в системе безопасности и обманчивые действия WazirX. Расследование Boring Sleuth выявило несоответствия в требованиях к множественной подписи и компрометацию безопасности.
Вводящие в заблуждение требования к безопасности множественной подписи*
WazirX заявляла, что для обработки транзакций в своем множественном кошельке требуются три подписи от руководителей WazirX и завершающее разрешение от Liminal. Однако на самом деле для настройки необходимо было получить четыре подписи из шести утвержденных адресов.
Компрометированная настройка множественной подписи
Проведя детальное исследование, было обнаружено, что четыре из пяти множественных адресов имели единое финансирование. Это означало, что один человек мог контролировать все пять адресов, что противоречило децентрализации управления, предусмотренной для защиты от утечки ключей.
Связь с Binance
Анализируя исторические данные цепочки блоков, Boring Sleuth выявил, что главный адрес обмена WazirX ранее был связан с Binance. Эта связь вызвала сомнения относительно его легитимности и аффилиации WazirX.
Игнорирование предупреждений
Обратив внимание на проблему 6 июля, за 12 дней до взлома, Boring Sleuth указал на уязвимость аналогичных множественных настроек в различных решениях Layer 2, включая WazirX. Однако никаких действий не было предпринято для изменения ситуации, и предупреждения остались лишь предупреждениями.
Смена вины
WazirX попыталась свалить вину на Liminal, когда, на самом деле, последний управлял лишь одной из шести подписей в общей сложности, из которых пять принадлежали некомпетентным сотрудникам WazirX. Это отвод вины казался малоубедительным в контексте реальных отношений власти на тот момент, что лишь усилило недоверие к бирже.
Расследование, проведенное Boring Sleuth, показывает, что в системе безопасности WazirX существует множество уязвимостей, и вероятность нечестности высока. Теперь на WazirX лежит ответственность рассеять сомнения своих пользователей и безопасно вернуть средства.
