Un atacante ha drenado alrededor de $72,000 en tokens STRONG y STRNGR después de tomar control del sistema de gobernanza en cadena abandonado de StrongBlock a través de una propuesta maliciosa.
Resumen
- Un atacante drenó alrededor de $72,000 después de tomar control del sistema de gobernanza abandonado de StrongBlock.
- Una propuesta maliciosa dio al atacante control administrativo del contrato Governor del protocolo.
- El atacante actualizó el contrato Governor antes de robar 32,695 tokens STRONG y 383,447 tokens STRNGR.
- El incidente se basó en el control de gobernanza en lugar de una vulnerabilidad de contrato inteligente.
- El ataque sigue a recientes brechas de seguridad cripto dirigidas a gobernanza, infraestructura y software de billeteras.
Según la firma de seguridad blockchain Defimon Alerts, el atacante adquirió suficiente poder de voto en la gobernanza de StrongBlock para aprobar una propuesta que finalmente transfirió el control administrativo del contrato Governor del protocolo antes de que los fondos fueran retirados.
En lugar de explotar una falla en los contratos inteligentes de StrongBlock, el atacante utilizó el propio proceso de gobernanza del protocolo para obtener acceso privilegiado. Después de obtener derechos de administrador, el atacante actualizó el proxy Governor a una nueva implementación que permitía llamadas arbitrarias a contratos utilizando la autoridad del Governor.
El incidente se suma a una serie de eventos recientes de seguridad cripto que han atacado sistemas de gobernanza, infraestructura de soporte y software de billeteras a través de diferentes vectores de ataque en lugar de depender únicamente de errores de contrato inteligente.
La gobernanza de StrongBlock se utilizó para tomar el control del protocolo
Antes de que se desarrollara el ataque, el atacante acumuló la mayoría del token de gobernanza STRONG del protocolo, que Defimon Alerts describió como casi sin valor después de que el proyecto fuera abandonado.
Con suficiente poder de voto, el atacante presentó una propuesta de gobernanza que instruía al contrato Upgrader del Governor a ejecutar setPendingAdmin(atacante), haciendo que la dirección del atacante fuera el administrador pendiente.
En lugar de eludir la gobernanza, la propuesta avanzó a través de cada etapa requerida. Recibió suficientes votos, entró en la cola y se ejecutó según el proceso normal de gobernanza del protocolo, transfiriendo eventualmente el control administrativo del proxy Governor al atacante.
Los privilegios administrativos luego permitieron al atacante reemplazar la implementación del Governor con un contrato mínimo y no verificado que contiene una función forward(address, bytes).
Según Defimon Alerts, la función estaba restringida a la cuenta de propiedad externa del atacante y efectivamente servía como un mecanismo de llamada arbitraria, permitiendo al atacante ejecutar transacciones con la autoridad del Governor en los contratos de StrongBlock.
Las transferencias de tokens ocurrieron en la siguiente transacción.
Más de 400,000 tokens fueron retirados del pool
Usando la implementación actualizada, el atacante ejecutó transacciones que transfirieron activos del pool del protocolo en lugar de explotar un error en la lógica del contrato del protocolo.
Defimon Alerts dijo que el atacante retiró 32,695 tokens STRONG junto con 383,447 STRNGR, elevando el valor estimado de los activos robados a aproximadamente $72,000.
La firma de seguridad caracterizó el incidente como una toma de control de gobernanza porque cada acción crítica, incluido el cambio de administrador y la actualización del contrato, ocurrió a través de permisos de gobernanza en lugar de una vulnerabilidad de software.
Al reemplazar la implementación del Governor antes de mover los fondos, el atacante convirtió el propio contrato de gobernanza en el mecanismo utilizado para autorizar las transferencias.
Los ataques de gobernanza difieren de los exploits recientes de criptomonedas
Los incidentes de seguridad recientes han demostrado que los atacantes están apuntando cada vez más a diferentes partes de la infraestructura de criptomonedas.
A finales del mes pasado, el protocolo de perpetuos descentralizados Ostium concluyó que los atacantes robaron 23,75 millones de USDC después de obtener acceso no autorizado a su infraestructura fuera de la cadena en lugar de explotar vulnerabilidades en sus contratos inteligentes.
Según el análisis post-mortem de Ostium, los informes de precios fraudulentos de BTC-USD enviados a través de infraestructura confiable permitieron al atacante generar ganancias comerciales artificiales que se liquidaron contra el fondo de liquidez pública OLP del protocolo. Un análisis anterior de la firma de seguridad blockchain Blockaid concluyó de manera similar que los informes manipulados de oráculos, en lugar de fallas en el código del contrato, permitieron el exploit.
Por separado, el incidente de la billetera Coldcard se originó por un problema de firmware introducido durante una actualización de software en marzo de 2021. Los equipos de ingeniería y seguridad de Bitcoin de Coinkite y Block concluyeron que el firmware afectado generaba semillas de billetera utilizando un generador pseudoaleatorio determinista en lugar del generador de números aleatorios de hardware previsto, reduciendo la entropía utilizada para crear claves privadas.
Galaxy Research ha confirmado robos que suman 1.596 BTC en aproximadamente 7.300 direcciones vinculadas a tres oleadas de ataques. La firma de investigación también ha identificado una posible cuarta oleada coordinada que involucra otros 448,7 BTC, aunque aún no ha incluido esas direcciones en su total confirmado porque la confirmación adicional de víctimas sigue pendiente.
La revisión de Coldcard se ha expandido a verificaciones de seguridad en toda la red Bitcoin
El incidente de Coldcard ha llevado a los desarrolladores a revisar una porción mucho más grande del ecosistema de software de Bitcoin.
A principios de esta semana, el desarrollador de Bitcoin Calle dijo que el equipo voluntario Bitcoin Red Team había completado revisiones asistidas por IA y manuales en 390 repositorios relacionados con Bitcoin, identificando 4.962 posibles problemas de seguridad, incluidos 720 clasificados como de alta o crítica gravedad.
Según Calle, aproximadamente el 21,4% de los hallazgos reportados ya han sido reproducidos mediante verificación manual antes de ser divulgados de forma privada a los desarrolladores afectados.
La campaña de revisión cubre billeteras de Bitcoin, bibliotecas criptográficas, software de infraestructura y otros proyectos de código abierto. Calle dijo que OpenSats está financiando aproximadamente $10,000 por día en costos de computación, mientras que Kimi Moonshot ha proporcionado cuentas de IA y acceso a su modelo Kimi K3 para apoyar el esfuerzo.
La gobernanza siguió siendo la superficie de ataque
A diferencia del exploit de Ostium o el incidente de la billetera Coldcard, el ataque a StrongBlock no dependió de infraestructura comprometida, manipulación de oráculos o debilidades criptográficas.
En cambio, el atacante primero obtuvo el control de la gobernanza antes de modificar el contrato de administrador del propio protocolo.
Según Defimon Alerts, actualizar el proxy del Gobernador a una implementación que contiene la función restringida forward(address, bytes) dio a la billetera del atacante autoridad exclusiva para ejecutar llamadas arbitrarias a través del contrato del Gobernador.
Los activos robados se transfirieron luego utilizando permisos que el propio protocolo otorgó después de que se completara la propuesta de gobernanza, lo que ilustra cómo los sistemas de gobernanza abandonados pueden continuar ejerciendo control administrativo sobre los contratos del protocolo incluso después de que la actividad de desarrollo haya cesado en gran medida.
