AFX a annoncé qu'il a préparé un plan de bonne volonté pour les utilisateurs affectés par l'exploit de pont de 24,15 millions de dollars de la semaine dernière, avec la proposition de récupération prévue pour publication le 3 août.
Résumé
- AFX annoncera un plan de bonne volonté pour les utilisateurs affectés par son exploit de pont de 24,15 millions de dollars le 3 août.
- Le protocole a déclaré que son enquête a révélé que l'attaque a commencé par une campagne d'ingénierie sociale qui a compromis l'infrastructure de développement interne.
- AFX a déclaré que l'exploit ciblait son propre pont de garde et n'affectait pas le pont natif d'Arbitrum.
- Le protocole a reconstruit l'infrastructure clé et introduit des mesures de sécurité supplémentaires pendant que les efforts de récupération se poursuivent.
Selon une annonce partagée par AFX, le protocole de dérivés décentralisés finalise un plan de bonne volonté suite à l'incident de sécurité du 22 juillet et publiera les détails lundi 3 août. L'équipe a déclaré que les investisseurs, les employés et les premiers supporters avaient tous été affectés par l'attaque et a demandé à la communauté de rester patiente pendant qu'elle finalise la proposition.
Cette mise à jour intervient après qu'AFX a terminé son enquête technique sur l'exploit, qui a entraîné le vol d'environ 24,15 millions d'USDC à partir d'un pont de garde exploité par AFX. Le protocole n'a pas encore divulgué comment la compensation ou la récupération sera structurée, mais a déclaré que sa prochaine annonce se concentrera sur le plan de bonne volonté.
Des déclarations publiques antérieures ont confirmé l'exploit ciblait l'infrastructure exploitée par AFX plutôt que le pont natif d'Arbitrum. À l'époque, la société de sécurité blockchain Blockaid et l'équipe d'Arbitrum ont enquêté sur l'incident, tandis que le cofondateur d'Offchain Labs, Steven Goldfeder, a déclaré que la transaction suspecte provenait d'un protocole tiers plutôt que du pont central d'Arbitrum.
AFX affirme que l'attaque a commencé avec un développeur
Dans une autopsie détaillée publiée après l'incident, AFX a déclaré que la violation provenait d'une campagne d'ingénierie sociale contre l'un de ses développeurs plutôt que d'une vulnérabilité dans ses contrats intelligents ou son infrastructure blockchain. Selon le protocole, l'attaquant s'est fait passer pour un recruteur d'une société appelée Oddium Lab le 9 juillet et a convaincu le développeur de cloner ce qui semblait être un référentiel logiciel légitime.
AFX a déclaré que le référentiel contenait une configuration Git malveillante qui exécutait une charge utile cachée lors d'un flux de travail Git de routine, donnant à l'attaquant un premier point d'appui dans le poste de travail du développeur. En utilisant l'appareil compromis, l'attaquant a progressivement étendu l'accès aux systèmes de développement internes avant de télécharger le code source du projet plusieurs jours plus tard.
L'enquête a déclaré que l'attaquant a ensuite téléchargé un plugin Groovy malveillant dans le référentiel d'artefacts JFrog du protocole, obtenant une exécution de code à distance dans l'environnement de livraison de logiciels. Selon AFX, des événements répétés de mémoire insuffisante sur le serveur JFrog ont été initialement traités comme des problèmes opérationnels avec l'aide du fournisseur, permettant au plugin malveillant de survivre à plusieurs redémarrages sans déclencher de réponse de sécurité.
L'analyse médico-légale a ensuite révélé que l'attaquant avait remplacé les binaires système par des versions trojanisées, injecté des bibliothèques partagées malveillantes et tenté d'effacer les journaux de sécurité avant que des parties du logiciel malveillant ne plantent. Les journaux SELinux ont capturé le trafic de commande et de contrôle sortant, l'exécution de shell et l'exécution de code en mémoire qui sont devenus des preuves importantes pendant l'enquête, selon le rapport.
Le compromis du validateur a permis le vol du pont
Le protocole a déclaré que l'attaquant a finalement pivoté de l'environnement de développement compromis vers son infrastructure opérationnelle en utilisant un service de gestion interne basé sur Ansible qui détenait déjà un accès privilégié aux nœuds validateurs. Plutôt que de voler de nouveaux identifiants ou d'exploiter un service externe, l'attaquant a utilisé les relations de confiance existantes pour déployer des charges utiles malveillantes sur un sous-ensemble de validateurs.
AFX a déclaré que les nœuds validateurs infectés ont téléchargé une charge utile de deuxième étape depuis un serveur distant avant d'interférer avec le traitement des messages de consensus. À 21h27 UTC le 22 juillet, les validateurs affectés ont co-signé une transaction de pont qui a transféré environ 24,15 millions d'USDC depuis le pont de garde exploité par AFX.
Le protocole a déclaré que son enquête n'a trouvé aucune preuve que le réseau Arbitrum ou le pont natif d'Arbitrum ait été compromis. L'attaque est restée confinée à l'infrastructure gérée par AFX, conformément aux déclarations précédemment publiées par Offchain Labs et Blockaid lors de la réponse initiale.
Les enquêteurs en chaîne ont ensuite suivi les USDC volés après leur transfert d'Arbitrum vers Ethereum, où les fonds ont été convertis en environ 12 467 ETH. Au moment de l'enquête initiale, aucun rapport public n'a confirmé qu'une partie des actifs volés avait été récupérée.
L'enquête pointe vers une compromission de la chaîne d'approvisionnement
Selon AFX, l'incident a démontré que les attaques de la chaîne d'approvisionnement logicielle peuvent contourner la sécurité de la blockchain sans exploiter directement les contrats intelligents. Le protocole a conclu que l'attaque reposait sur des outils de développement de confiance, des systèmes de déploiement internes et l'infrastructure des validateurs plutôt que sur des faiblesses dans le code en chaîne.
Le rapport indique que le protocole a reconstruit l'infrastructure affectée, fait pivoter les informations d'identification opérationnelles, augmenté la sensibilité de la surveillance et migré les systèmes de production vers un environnement plus isolé avec une segmentation de confiance zéro. Les travaux supplémentaires prévus dans les mois à venir comprennent une surveillance comportementale renforcée, des examens de sécurité obligatoires avant le redémarrage des services de production, des exercices élargis de chasse aux menaces et une formation des employés contre les attaques d'ingénierie sociale.
Sur la base des preuves médico-légales, des techniques d'attaque et de l'infrastructure observées lors de l'enquête, AFX a déclaré que ses conclusions sont cohérentes avec l'attribution indépendante reliant l'incident à UNC4899, également connu sous le nom de TraderTraitor, un groupe de menace lié à la RPDC suivi par Mandiant, Microsoft Threat Intelligence, le FBI et la CISA. Le protocole a déclaré qu'il continue de travailler avec des partenaires de sécurité externes pour tracer les actifs volés et soutenir les efforts de réponse en cours.
Les attaques hors chaîne ont fait surface dans plusieurs exploits DeFi
Les dernières conclusions s'ajoutent à une série d'incidents dans lesquels les protocoles ont conclu que les attaquants ont compromis l'infrastructure de support au lieu d'exploiter des failles dans les contrats intelligents.
Le 30 juillet, Ostium a déclaré que son enquête sur un exploit distinct de 23,75 millions d'USDC avait révélé qu'un accès non autorisé à l'infrastructure hors chaîne avait permis à de faux rapports de prix BTC-USD de drainer des fonds de son coffre de liquidité, tandis que ses contrats intelligents et ses multisigs de gouvernance restaient non compromis.
Plus tôt ce mois-ci, la société de paiement de stablecoin basée à Singapour, Triple-A, a également divulgué un accès non autorisé à des portefeuilles de trésorerie détenant des actifs numériques appartenant à l'entreprise, bien qu'elle ait déclaré que les fonds des clients et les opérations de paiement n'étaient pas affectés.
