Et hack på 5 millioner dollars af Ankr-protokollen den 1. december blev forårsaget af et tidligere teammedlem, ifølge en meddelelse fra Ankr-teamet den 20. december.
Den tidligere medarbejder udførte et "forsyningskædeangreb" af sætte ondsindet kode i en pakke med fremtidige opdateringer til teamets interne software. Når denne software blev opdateret, skabte den ondsindede kode en sikkerhedssårbarhed, der gjorde det muligt for angriberen at stjæle holdets deployer-nøgle fra virksomhedens server.
Efter handlingsrapport: Vores resultater fra aBNBc Token-udnyttelsen
Vi har netop udgivet et nyt blogindlæg, der går i dybden om dette: https://t.co/fyagjhODNG
— Ankr Staking (@ankrstaking) 20. December, 2022
Tidligere havde holdet meddelt, at udnyttelsen var forårsaget af en stjålet deployer-nøgle der blev brugt til at opgradere protokollens smarte kontrakter. Men på det tidspunkt havde de ikke forklaret, hvordan deployer-nøglen var blevet stjålet.
Ankr har advaret de lokale myndigheder og forsøger at få angriberen stillet for retten. Det forsøger også at styrke sin sikkerhedspraksis for at beskytte adgangen til sine nøgler i fremtiden.
Opgraderbare kontrakter som dem, der bruges i Ankr, er afhængige af begrebet en "ejerkonto", der alene har beføjelse til at lave opgraderinger ifølge en OpenZeppelin-tutorial om emnet. På grund af risikoen for tyveri overfører de fleste udviklere ejerskabet af disse kontrakter til en gnosis-safe eller anden multisignaturkonto. Ankr-teamet sagde, at det ikke brugte en multisig-konto til ejerskab i fortiden, men vil gøre det fra nu af, med angivelse af:
"Udnyttelsen var mulig, dels fordi der var et enkelt fejlpunkt i vores udviklernøgle. Vi vil nu implementere multi-sig-godkendelse til opdateringer, der vil kræve signoff fra alle nøgledepoter i tidsbegrænsede intervaller, hvilket gør et fremtidigt angreb af denne type ekstremt vanskeligt, hvis ikke umuligt. Disse funktioner vil forbedre sikkerheden for den nye ankrBNB-kontrakt og alle Ankr-tokens."
Ankr har også lovet at forbedre praksis for menneskelige ressourcer. Det vil kræve "eskalerede" baggrundstjek for alle medarbejdere, selv dem, der arbejder eksternt, og det vil gennemgå adgangsrettigheder for at sikre, at følsomme data kun kan tilgås af arbejdere, der har brug for det. Virksomheden vil også implementere nye notifikationssystemer for at advare teamet hurtigere, når noget går galt.
Ankr-protokollen hack blev først opdaget den 1. december. Det gjorde det muligt for angriberen at præge 20 billioner Ankr Reward Bearing Staked BNB (aBNBc), som øjeblikkeligt blev byttet på decentraliserede børser for omkring $5 millioner i USD Coin (USDC) og bro til Ethereum. Holdet har udtalt, at det planlægger at genudgive sine aBNBb- og aBNBc-tokens til brugere, der er berørt af udnyttelsen, og at bruge 5 millioner dollars fra sin egen statskasse for at sikre, at disse nye tokens er fuldt understøttet.
Udvikleren har også indsat $15 millioner til repeg HAY stablecoin, som blev undersikret på grund af udnyttelsen.
Kilde: https://cointelegraph.com/news/ankr-says-ex-employee-caused-5m-exploit-vows-to-improve-security