160 mln. USD Wintermute Security Exploit galėjo būti viešai neatskleista užduotis: pranešimas

Pirmaujantis kriptovaliutų rinkos gamintojas „Wintermute“ praėjusią savaitę patyrė 160 mln. Tinklo duomenys atskleidė dešimčių milijonų dolerių vertės „Dai“, USDC, „Tether“, „Wrapped ETH“ ir kito turto, perkeltų iš įmonės į piniginės adresą, pažymėtą kaip „Wintermute Exploiter“.

Nors JK įsikūrusi bendrovė to nepadarė atskleidė jei teisėsaugai buvo pranešta, ji įsilaužėliui siūlė 10 % premiją už neteisėtai gautas lėšas ir pažeidimą traktavo kaip „baltos kepurės“ įvykį.

Tačiau nauja ataskaita rodo, kad tai gali būti viešai neatskleista užduotis.

Vidinis darbas

Analitikas Jamesas Edwardsas, dar žinomas kaip Librehash, taip pat žinomas kaip „ZeroNoncense“ redaktorius, ginčijo kad įsilaužėlis negalėjo būti atsitiktinis išorinis subjektas, kuris „tiesiog atkūrė privatųjį raktą į nesaugų išoriškai priklausantį adresą, kuriam komandai nepavyko atšaukti administratoriaus teisių“. Edwardsas teigė, kad įsilaužimą, atrodo, įvykdė vidinė šalis, stebėjusi platformos išmaniųjų sutarčių sąveiką.

„Kitaip tariant, atitinkami EOA inicijuoti sandoriai aiškiai parodo, kad įsilaužėlis greičiausiai buvo Wintermute komandos vidinis narys.

Edwardsas suabejojo ​​projekto skaidrumu ir nurodė, kad nėra įkelto, patikrinto kodo, skirto aptariamai Wintermute išmaniajai kontraktai, todėl bendruomenė negalėjo patvirtinti, kad įsilaužėlis nebuvo vidinis. Paprastai bet kuri išmanioji sutartis, atsakinga už naudotojo/kliento lėšų, įdiegtų blokų grandinėje, valdymą, yra viešai tikrinama.

Giliau ištyręs ir atsijojęs dekompiliuotą baitinį kodą, analitikas tariamai nustatė, kad kodas nesutampa su tuo, kas tariamai pažeista.

Edvardsas taip pat pažvelgė į Wintermute generalinį direktorių ir įkūrėją Jevgenijų Gaevojų ir pavadino vykdomojo vadovo paaiškinimą „skubuotu, skubotu ir netvarkingai paskelbtu“, todėl susidarė įspūdis, kad komandai „palengvėjo“ sugebėjimas uždirbti milijoną dolerių. apiplėšimas su „mažu tikrinimu arba be jo“.

Perkelkite į pažeistą piniginę

Anot Edwardso, 13.48 mln. USD pervedimas iš Wintermute išmaniosios sutarties adreso į išmaniąją sutartį, kurią tariamai sukūrė ir kontroliuoja Wintermute įsilaužėlis, yra ginčytinas.

Jis tvirtino, kad sandorių istorija parodė milijonų JAV dolerių judėjimą iš dviejų skirtingų biržų – „Binance“ ir „Kraken“ karštųjų piniginių iki pažeistos išmaniosios sutarties, kuri galėjo būti inicijuota iš komandos valdomų mainų sąskaitų.

6d/ Ta suma, kuri buvo iššluota tame 5:03 (EDT) sandoryje, taip pat nebuvo nereikšminga suma. Manoma, kad komanda nukentėjo už 16 mln USDT USD tame pirmajame valyme.

Kodėl, po velnių, šiuo adresu jie siunčia 13 mln. daugiau lėšų? Prašome atsakyti, jei galite @EvgenyGaevoy

– Jamesas Edwardsas (@librehash) Rugsėjis 26, 2022