A AFX anunciou que preparou um plano de boa vontade para os usuários afetados pelo exploit de ponte de US$ 24,15 milhões da semana passada, com a proposta de recuperação programada para ser divulgada em 3 de agosto.
Resumo
- A AFX anunciará um plano de boa vontade para os usuários afetados pelo exploit de ponte de US$ 24,15 milhões em 3 de agosto.
- O protocolo disse que sua investigação descobriu que o ataque começou com uma campanha de engenharia social que comprometeu a infraestrutura interna de desenvolvimento.
- A AFX disse que o exploit teve como alvo sua própria ponte de custódia e não afetou a ponte nativa da Arbitrum.
- O protocolo reconstruiu a infraestrutura principal e introduziu medidas de segurança adicionais enquanto os esforços de recuperação continuam.
De acordo com um anúncio compartilhado pela AFX, o protocolo de derivativos descentralizados está finalizando um plano de boa vontade após o incidente de segurança de 22 de julho e publicará os detalhes na segunda-feira, 3 de agosto. A equipe disse que investidores, funcionários e apoiadores iniciais foram todos afetados pelo ataque e pediu à comunidade que permanecesse paciente enquanto conclui a proposta final.
A atualização vem depois que a AFX concluiu sua investigação técnica sobre o exploit, que resultou no roubo de cerca de 24,15 milhões de USDC de uma ponte de custódia operada pela AFX. O protocolo ainda não divulgou como a compensação ou recuperação será estruturada, mas disse que seu próximo anúncio se concentrará no plano de boa vontade.
Declarações públicas anteriores confirmaram que o exploit teve como alvo a infraestrutura operada pela AFX, e não a ponte nativa da Arbitrum. Na época, a empresa de segurança blockchain Blockaid e a equipe da Arbitrum investigaram o incidente, enquanto o cofundador da Offchain Labs, Steven Goldfeder, disse que a transação suspeita se originou de um protocolo de terceiros, em vez da ponte central da Arbitrum.
AFX diz que o ataque começou com um desenvolvedor
Em uma análise post-mortem detalhada divulgada após o incidente, a AFX disse que a violação se originou de uma campanha de engenharia social contra um de seus desenvolvedores, em vez de uma vulnerabilidade em seus contratos inteligentes ou infraestrutura blockchain. De acordo com o protocolo, o atacante se passou por um recrutador de uma empresa chamada Oddium Lab em 9 de julho e convenceu o desenvolvedor a clonar o que parecia ser um repositório de software legítimo.
A AFX disse que o repositório continha uma configuração Git maliciosa que executou uma carga oculta durante um fluxo de trabalho Git de rotina, dando ao atacante um ponto de apoio inicial dentro da estação de trabalho do desenvolvedor. Usando o dispositivo comprometido, o atacante gradualmente expandiu o acesso aos sistemas internos de desenvolvimento antes de baixar o código-fonte do projeto vários dias depois.
A investigação disse que o atacante posteriormente enviou um plugin Groovy malicioso para o repositório de artefatos JFrog do protocolo, obtendo execução remota de código dentro do ambiente de entrega de software. De acordo com a AFX, eventos repetidos de falta de memória no servidor JFrog foram inicialmente tratados como problemas operacionais com assistência do fornecedor, permitindo que o plugin malicioso sobrevivesse a várias reinicializações sem acionar uma resposta de segurança.
A análise forense posteriormente descobriu que o atacante substituiu binários do sistema por versões trojanizadas, injetou bibliotecas compartilhadas maliciosas e tentou apagar logs de segurança antes que partes do malware travassem. Os logs do SELinux capturaram tráfego de comando e controle de saída, execução de shell e execução de código em memória, que se tornaram evidências importantes durante a investigação, de acordo com o relatório.
Comprometimento do validador permitiu o roubo da ponte
O protocolo disse que o atacante eventualmente passou do ambiente de desenvolvimento comprometido para sua infraestrutura operacional usando um serviço de gerenciamento interno baseado em Ansible que já tinha acesso privilegiado aos nós validadores. Em vez de roubar novas credenciais ou explorar um serviço externo, o atacante usou relações de confiança existentes para implantar cargas maliciosas em um subconjunto de validadores.
A AFX disse que os nós validadores infectados baixaram um payload de segundo estágio de um servidor remoto antes de interferir no manuseio de mensagens de consenso. Às 21h27 UTC de 22 de julho, os validadores afetados assinaram conjuntamente uma transação de ponte que transferiu aproximadamente 24,15 milhões de USDC da ponte de custódia operada pela AFX.
O protocolo disse que sua investigação não encontrou evidências de que a rede Arbitrum ou a ponte nativa da Arbitrum tivessem sido comprometidas. O ataque permaneceu confinado à infraestrutura gerenciada pela AFX, em linha com as declarações emitidas anteriormente pela Offchain Labs e Blockaid durante a resposta inicial.
Investigadores on-chain posteriormente rastrearam o USDC roubado depois que ele se moveu de Arbitrum para Ethereum, onde os lucros foram convertidos em aproximadamente 12.467 ETH. No momento da investigação inicial, nenhum relatório público confirmou que qualquer parte dos ativos roubados havia sido recuperada.
Investigação aponta para comprometimento da cadeia de suprimentos
De acordo com a AFX, o incidente demonstrou que ataques à cadeia de suprimentos de software podem contornar a segurança do blockchain sem explorar contratos inteligentes diretamente. O protocolo concluiu que o ataque dependia de ferramentas de desenvolvimento confiáveis, sistemas internos de implantação e infraestrutura de validadores, em vez de fraquezas no código on-chain.
O relatório disse que o protocolo reconstruiu a infraestrutura afetada, rotacionou credenciais operacionais, aumentou a sensibilidade do monitoramento e migrou os sistemas de produção para um ambiente mais isolado com segmentação de confiança zero. Trabalho adicional planejado para os próximos meses inclui monitoramento comportamental mais forte, revisões de segurança obrigatórias antes de reiniciar os serviços de produção, exercícios expandidos de caça a ameaças e treinamento de funcionários contra ataques de engenharia social.
Com base em evidências forenses, técnicas de ataque e infraestrutura observadas durante a investigação, a AFX disse que suas descobertas são consistentes com a atribuição independente que liga o incidente à UNC4899, também conhecido como TraderTraitor, um grupo de ameaças ligado à Coreia do Norte rastreado pela Mandiant, Microsoft Threat Intelligence, FBI e CISA. O protocolo disse que continua trabalhando com parceiros de segurança externos para rastrear os ativos roubados e apoiar os esforços de resposta em andamento.
Ataques fora da cadeia surgiram em múltiplos exploits de DeFi
As descobertas mais recentes somam-se a uma série de incidentes em que protocolos concluíram que atacantes comprometeram a infraestrutura de suporte em vez de explorar falhas em contratos inteligentes.
Em 30 de julho, a Ostium disse que sua investigação sobre um exploit separado de 23,75 milhões de USDC descobriu que acesso não autorizado à infraestrutura fora da cadeia permitiu que relatórios fraudulentos de preços BTC-USD drenassem fundos de seu cofre de liquidez, enquanto seus contratos inteligentes e multisigs de governança permaneceram não comprometidos.
No início deste mês, a Triple-A, empresa de pagamentos com stablecoin sediada em Singapura, também divulgou acesso não autorizado a carteiras de tesouraria que detinham ativos digitais de propriedade da empresa, embora tenha dito que os fundos dos clientes e as operações de pagamento não foram afetados.
