Um atacante drenou cerca de US$ 72.000 em tokens STRONG e STRNGR após assumir o controle do sistema de governança on-chain abandonado da StrongBlock por meio de uma proposta maliciosa.
Resumo
- Um atacante drenou cerca de US$ 72.000 após assumir o controle do sistema de governança abandonado da StrongBlock.
- Uma proposta maliciosa deu ao atacante controle administrativo do contrato Governor do protocolo.
- O atacante atualizou o contrato Governor antes de roubar 32.695 tokens STRONG e 383.447 tokens STRNGR.
- O incidente dependeu do controle de governança, não de uma vulnerabilidade de contrato inteligente.
- O ataque segue recentes violações de segurança cripto que visaram governança, infraestrutura e software de carteira.
De acordo com a empresa de segurança blockchain Defimon Alerts, o atacante adquiriu poder de voto suficiente na governança da StrongBlock para aprovar uma proposta que, em última análise, transferiu o controle administrativo do contrato Governor do protocolo antes que os fundos fossem removidos.
Em vez de explorar uma falha nos contratos inteligentes da StrongBlock, o atacante usou o próprio processo de governança do protocolo para obter acesso privilegiado. Após obter direitos de administrador, o atacante atualizou o proxy do Governor para uma nova implementação que permitia chamadas arbitrárias de contrato usando a autoridade do Governor.
O incidente se soma a uma série de eventos recentes de segurança cripto que visaram sistemas de governança, infraestrutura de suporte e software de carteira por meio de diferentes vetores de ataque, em vez de depender apenas de bugs em contratos inteligentes.
Governança da StrongBlock foi usada para assumir o controle do protocolo
Antes do ataque se desenrolar, o atacante acumulou a maioria do token de governança STRONG do protocolo, que a Defimon Alerts descreveu como tendo se tornado quase sem valor após o projeto ser abandonado.
Com poder de voto suficiente, o atacante submeteu uma proposta de governança instruindo o contrato Upgrader do Governor a executar setPendingAdmin(atacante), tornando o endereço do atacante o administrador pendente.
Em vez de contornar a governança, a proposta avançou por todas as etapas necessárias. Recebeu votos suficientes, entrou na fila e foi executada de acordo com o processo normal de governança do protocolo, eventualmente transferindo o controle administrativo do proxy do Governor para o atacante.
Os privilégios administrativos então permitiram que o atacante substituísse a implementação do Governor por um contrato mínimo e não verificado contendo uma função forward(address, bytes).
De acordo com a Defimon Alerts, a função era restrita à conta de propriedade externa do atacante e efetivamente servia como um mecanismo de chamada arbitrária, permitindo que o atacante executasse transações com a autoridade do Governor nos contratos da StrongBlock.
As transferências de tokens ocorreram na seguinte transação.
Mais de 400.000 tokens foram removidos do pool
Usando a implementação atualizada, o atacante executou transações que transferiram ativos do pool do protocolo, em vez de explorar um erro na lógica do contrato do protocolo.
A Defimon Alerts disse que o atacante removeu 32.695 tokens STRONG juntamente com 383.447 STRNGR, elevando o valor estimado dos ativos roubados para aproximadamente US$ 72.000.
A empresa de segurança caracterizou o incidente como uma tomada de governança porque todas as ações críticas, incluindo a mudança de administrador e a atualização do contrato, ocorreram por meio de permissões de governança, em vez de uma vulnerabilidade de software.
Ao substituir a implementação do Governor antes de mover os fundos, o atacante transformou o próprio contrato de governança no mecanismo usado para autorizar as transferências.
Ataques de governança diferem de explorações recentes de criptomoedas
Incidentes de segurança recentes demonstraram que os atacantes estão cada vez mais visando diferentes partes da infraestrutura de criptomoedas.
No final do mês passado, o protocolo de perpétuos descentralizados Ostium concluiu que atacantes roubaram 23,75 milhões de USDC após obterem acesso não autorizado à sua infraestrutura off-chain, em vez de explorarem vulnerabilidades em seus contratos inteligentes.
De acordo com a análise post-mortem da Ostium, relatórios fraudulentos de preços BTC-USD enviados por meio de infraestrutura confiável permitiram que o atacante gerasse lucros de negociação artificiais que foram liquidados contra o pool de liquidez pública OLP do protocolo. Uma análise anterior da empresa de segurança blockchain Blockaid também concluiu que relatórios de oráculo manipulados, e não falhas no código do contrato, permitiram a exploração.
Separadamente, o incidente da carteira Coldcard originou-se de um problema de firmware introduzido durante uma atualização de software em março de 2021. As equipes de engenharia e segurança de Bitcoin da Coinkite e da Block concluíram que o firmware afetado gerava sementes de carteira usando um gerador pseudoaleatório determinístico em vez do gerador de números aleatórios de hardware pretendido, reduzindo a entropia usada para criar chaves privadas.
A Galaxy Research confirmou roubos totalizando 1.596 BTC em aproximadamente 7.300 endereços ligados a três ondas de ataques. A empresa de pesquisa também identificou uma suspeita quarta onda coordenada envolvendo outros 448,7 BTC, embora ainda não tenha incluído esses endereços em seu total confirmado porque a confirmação adicional das vítimas ainda está pendente.
A revisão da Coldcard expandiu-se para verificações de segurança em todo o Bitcoin
O incidente da Coldcard levou os desenvolvedores a revisar uma parte muito maior do ecossistema de software do Bitcoin.
No início desta semana, o desenvolvedor de Bitcoin Calle disse que o Bitcoin Red Team voluntário concluiu revisões assistidas por IA e manuais em 390 repositórios relacionados ao Bitcoin, identificando 4.962 problemas potenciais de segurança, incluindo 720 classificados como de alta ou crítica gravidade.
De acordo com Calle, cerca de 21,4% das descobertas relatadas já foram reproduzidas por meio de verificação manual antes de serem divulgadas privadamente aos desenvolvedores afetados.
A campanha de revisão cobre carteiras Bitcoin, bibliotecas criptográficas, software de infraestrutura e outros projetos de código aberto. Calle disse que a OpenSats está financiando aproximadamente US$ 10.000 por dia em custos de computação, enquanto a Kimi Moonshot forneceu contas de IA e acesso ao seu modelo Kimi K3 para apoiar o esforço.
A governança permaneceu como superfície de ataque
Ao contrário da exploração da Ostium ou do incidente da carteira Coldcard, o ataque à StrongBlock não dependeu de infraestrutura comprometida, manipulação de oráculo ou fraquezas criptográficas.
Em vez disso, o atacante primeiro obteve controle da governança antes de modificar o contrato de administrador do próprio protocolo.
De acordo com a Defimon Alerts, atualizar o proxy do Governor para uma implementação contendo a função restrita forward(address, bytes) deu à carteira do atacante autoridade exclusiva para executar chamadas arbitrárias por meio do contrato Governor.
Os ativos roubados foram então transferidos usando permissões que o próprio protocolo concedeu após a conclusão da proposta de governança, ilustrando como sistemas de governança abandonados podem continuar exercendo controle administrativo sobre contratos de protocolo mesmo após a atividade de desenvolvimento ter cessado em grande parte.
