AFX ha anunciado que ha preparado un plan de buena voluntad para los usuarios afectados por el exploit del puente de 24,15 millones de dólares de la semana pasada, con la propuesta de recuperación programada para publicarse el 3 de agosto.
Resumen
- AFX anunciará un plan de buena voluntad para los usuarios afectados por su exploit del puente de 24,15 millones de dólares el 3 de agosto.
- El protocolo dijo que su investigación encontró que el ataque comenzó con una campaña de ingeniería social que comprometió la infraestructura de desarrollo interna.
- AFX dijo que el exploit se dirigió a su propio puente de custodia y no afectó al puente nativo de Arbitrum.
- El protocolo ha reconstruido infraestructura clave e introducido medidas de seguridad adicionales mientras continúan los esfuerzos de recuperación.
Según un anuncio compartido por AFX, el protocolo de derivados descentralizados está finalizando un plan de buena voluntad tras el incidente de seguridad del 22 de julio y publicará los detalles el lunes 3 de agosto. El equipo dijo que los inversores, empleados y primeros seguidores se han visto afectados por el ataque y pidió a la comunidad que tenga paciencia mientras completa la propuesta final.
La actualización llega después de que AFX completara su investigación técnica sobre el exploit, que resultó en el robo de aproximadamente 24,15 millones de USDC de un puente de custodia operado por AFX. El protocolo aún no ha revelado cómo se estructurará la compensación o recuperación, pero dijo que su próximo anuncio se centrará en el plan de buena voluntad.
Declaraciones públicas anteriores confirmaron el exploit dirigido a la infraestructura operada por AFX en lugar del puente nativo de Arbitrum. En ese momento, la firma de seguridad blockchain Blockaid y el equipo de Arbitrum investigaron el incidente, mientras que el cofundador de Offchain Labs, Steven Goldfeder, dijo que la transacción sospechosa se originó de un protocolo de terceros en lugar del puente central de Arbitrum.
AFX dice que el ataque comenzó con un desarrollador
En un análisis post-mortem detallado publicado después del incidente, AFX dijo que la brecha se originó de una campaña de ingeniería social contra uno de sus desarrolladores en lugar de una vulnerabilidad en sus contratos inteligentes o infraestructura blockchain. Según el protocolo, el atacante se hizo pasar por un reclutador de una empresa llamada Oddium Lab el 9 de julio y convenció al desarrollador de clonar lo que parecía ser un repositorio de software legítimo.
AFX dijo que el repositorio contenía una configuración maliciosa de Git que ejecutó una carga útil oculta durante un flujo de trabajo rutinario de Git, dando al atacante un punto de apoyo inicial dentro de la estación de trabajo del desarrollador. Usando el dispositivo comprometido, el atacante expandió gradualmente el acceso a través de los sistemas de desarrollo internos antes de descargar el código fuente del proyecto varios días después.
La investigación dijo que el atacante luego subió un plugin malicioso de Groovy al repositorio de artefactos JFrog del protocolo, obteniendo ejecución remota de código dentro del entorno de entrega de software. Según AFX, los repetidos eventos de falta de memoria en el servidor JFrog fueron inicialmente tratados como problemas operativos con la asistencia del proveedor, permitiendo que el plugin malicioso sobreviviera a múltiples reinicios sin desencadenar una respuesta de seguridad.
El análisis forense encontró más tarde que el atacante había reemplazado binarios del sistema con versiones troyanizadas, inyectado bibliotecas compartidas maliciosas e intentado borrar registros de seguridad antes de que partes del malware colapsaran. Los registros de SELinux capturaron tráfico de comando y control saliente, ejecución de shell y ejecución de código en memoria que se convirtieron en evidencia importante durante la investigación, según el informe.
El compromiso del validador permitió el robo del puente
El protocolo dijo que el atacante finalmente pasó del entorno de desarrollo comprometido a su infraestructura operativa utilizando un servicio de gestión interno basado en Ansible que ya tenía acceso privilegiado a los nodos validadores. En lugar de robar nuevas credenciales o explotar un servicio externo, el atacante utilizó relaciones de confianza existentes para desplegar cargas útiles maliciosas en un subconjunto de validadores.
AFX dijo que los nodos validadores infectados descargaron un payload de segunda etapa desde un servidor remoto antes de interferir con el manejo de mensajes de consenso. A las 9:27 p.m. UTC del 22 de julio, los validadores afectados co-firmaron una transacción de puente que transfirió aproximadamente 24.15 millones de USDC desde el puente de custodia operado por AFX.
El protocolo dijo que su investigación no encontró evidencia de que la red Arbitrum o el puente nativo de Arbitrum hubieran sido comprometidos. El ataque se mantuvo confinado a la infraestructura gestionada por AFX, coincidiendo con las declaraciones emitidas previamente por Offchain Labs y Blockaid durante la respuesta inicial.
Los investigadores en cadena rastrearon más tarde los USDC robados después de que se movieran de Arbitrum a Ethereum, donde los fondos se convirtieron en aproximadamente 12,467 ETH. En el momento de la investigación inicial, ningún informe público confirmó que alguna parte de los activos robados hubiera sido recuperada.
La investigación apunta a un compromiso de la cadena de suministro
Según AFX, el incidente demostró que los ataques a la cadena de suministro de software pueden eludir la seguridad de blockchain sin explotar directamente los contratos inteligentes. El protocolo concluyó que el ataque se basó en herramientas de desarrollo confiables, sistemas de despliegue internos e infraestructura de validadores en lugar de debilidades en el código en cadena.
El informe dijo que el protocolo ha reconstruido la infraestructura afectada, rotado las credenciales operativas, aumentado la sensibilidad de monitoreo y migrado los sistemas de producción a un entorno más aislado con segmentación de confianza cero. El trabajo adicional planificado para los próximos meses incluye un monitoreo de comportamiento más fuerte, revisiones de seguridad obligatorias antes de reiniciar los servicios de producción, ejercicios ampliados de búsqueda de amenazas y capacitación de empleados contra ataques de ingeniería social.
Basándose en la evidencia forense, las técnicas de ataque y la infraestructura observadas durante la investigación, AFX dijo que sus hallazgos son consistentes con la atribución independiente que vincula el incidente con UNC4899, también conocido como TraderTraitor, un grupo de amenazas vinculado a la RPDC rastreado por Mandiant, Microsoft Threat Intelligence, el FBI y CISA. El protocolo dijo que continúa trabajando con socios de seguridad externos para rastrear los activos robados y apoyar los esfuerzos de respuesta en curso.
Los ataques fuera de cadena han surgido en múltiples exploits de DeFi
Los últimos hallazgos se suman a una serie de incidentes en los que los protocolos han concluido que los atacantes comprometieron la infraestructura de soporte en lugar de explotar fallas en los contratos inteligentes.
El 30 de julio, Ostium dijo que su investigación sobre un exploit separado de 23.75 millones de USDC encontró que el acceso no autorizado a la infraestructura fuera de cadena permitió que informes de precios fraudulentos de BTC-USD drenaran fondos de su bóveda de liquidez, mientras que sus contratos inteligentes y multisigs de gobernanza permanecieron sin comprometer.
A principios de este mes, la firma de pagos con stablecoin con sede en Singapur, Triple-A, también reveló acceso no autorizado a billeteras de tesorería que contienen activos digitales propiedad de la empresa, aunque dijo que los fondos de los clientes y las operaciones de pago no se vieron afectados.
