Analyse des incidents de sécurité Web3 : une attaque majeure sur le Cold Wallet d'une plateforme de交易
Le 21 février 2025, le portefeuille froid d'Ethereum d'une plateforme de trading bien connue a été attaqué, environ 401 346 ETH, 15 000 cmETH, 8 000 mETH, 90 375 stETH et 90 USDT ont été transférés vers une adresse inconnue, pour une valeur totale d'environ 1,46 milliard de dollars.
L'attaquant a incité le signataire du portefeuille multi-signatures de la plateforme à signer des transactions malveillantes par le biais de techniques de phishing. Les étapes de l'attaque sont les suivantes :
L'attaquant déploie à l'avance un contrat malveillant contenant une porte dérobée pour le transfert de fonds.
Modifier l'interface de gestion de la sécurité, de sorte que les informations de transaction visibles par le signataire ne correspondent pas aux données réellement envoyées au Cold Wallet.
Obtenir trois signatures valides par une interface falsifiée, remplacer le contrat d'implémentation du portefeuille multi-signatures par une version malveillante, puis contrôler le Cold Wallet et transférer des fonds.
La société de sécurité chargée de mener l'enquête de preuve a actuellement découvert :
Dans le stockage cloud de la plateforme de gestion de la sécurité, des ressources ont été injectées avec du code JavaScript malveillant.
L'analyse du code montre que son principal objectif est de manipuler le contenu des transactions pendant le processus de signature.
Le code malveillant a des conditions d'activation, qui ne se déclenchent que sur des adresses de contrats spécifiques.
Après l'exécution de la transaction malveillante, la version mise à jour des ressources JavaScript a été téléchargée, supprimant le code malveillant.
Une première évaluation indique que l'attaque provient de l'infrastructure cloud de la plateforme de gestion de la sécurité.
Aucun signe d'intrusion dans l'infrastructure de cette plateforme de trading n'a été détecté jusqu'à présent.
D'après les informations existantes, le front-end n'est pas le principal problème, la clé réside dans le fait que le service de stockage en nuage a été piraté, ce qui a entraîné une altération de JavaScript. Mais si la plateforme de gestion de la sécurité avait mis en œuvre une validation d'intégrité de base au niveau du front-end, même si JavaScript avait été modifié, cela n'aurait pas entraîné de conséquences aussi graves. Bien sûr, la plateforme de trading ne peut pas échapper à sa responsabilité, car elle a confirmé les transactions sans que le portefeuille matériel n'affiche les informations spécifiques, ce qui représente déjà un risque en soi concernant la confiance dans le front-end de la plateforme de gestion de la sécurité.
Les portefeuilles matériels présentent des limitations lors du traitement de transactions complexes, car ils ne peuvent pas analyser et afficher complètement les données de transaction détaillées des portefeuilles à signatures multiples, ce qui conduit les signataires à effectuer des "signatures aveugles" sans avoir entièrement vérifié le contenu de la transaction.
Les hackers excellent à exploiter les défauts de conception des processus d'interaction pour tromper les actifs des utilisateurs, tels que le détournement de l'interface utilisateur, la signature trompeuse, l'utilisation de signatures aveugles, l'abus de la signature Permit, le phishing TransferFrom à zéro transfert, l'escroquerie de type airdrop avec les mêmes derniers chiffres, le phishing NFT, etc.
Avec le développement de la technologie Web3, la frontière entre la sécurité frontale et la sécurité de la blockchain devient de plus en plus floue. Les vulnérabilités frontales traditionnelles se voient attribuer de nouvelles dimensions d'attaque dans le contexte Web3, tandis que les problèmes tels que les vulnérabilités des contrats intelligents et les défauts de gestion des clés privées amplifient davantage les risques.
Paramètres de transaction falsifiés : l'interface affiche le transfert, l'autorisation est en réalité exécutée.
L'utilisateur voit une fenêtre contextuelle du portefeuille affichant "Transférer 1 ETH à 0xUser...", mais l'exécution sur la chaîne est en réalité "approve(attacker, unlimited)", les actifs pouvant être transférés à tout moment.
Solution : Vérification de signature structurée EIP-712
Génération de données vérifiables côté client
Vérification de la signature du contrat intelligent
Ainsi, toute falsification des paramètres frontaux entraînera un décalage de la signature, et la transaction sera automatiquement annulée.
Détournement de signature aveugle : raisons pour lesquelles les portefeuilles matériels ont été compromis
L'attaquant pourrait détourner le code frontal et envoyer des données de transaction falsifiées au Portefeuille matériel. L'écran du Portefeuille matériel affiche des informations de transaction normales, mais ce qui est réellement exécuté est "approve(attacker, unlimited)".
Solution : analyse sémantique du portefeuille matériel + vérification secondaire en chaîne
Mettre à jour le firmware du Portefeuille matériel pour prendre en charge EIP-712
Correspondance sémantique forcée sur la chaîne
Conclusion
L'intégration de la sécurité frontale et de la sécurité Web3 représente à la fois un défi et une opportunité. Cet événement a révélé des problèmes profonds dans la gestion de la sécurité et l'architecture technique de l'industrie des cryptomonnaies. L'industrie doit améliorer de manière globale ses capacités de protection à partir de plusieurs aspects tels que la sécurité des appareils, la validation des transactions et les mécanismes de gestion des risques, afin de faire face à des menaces de plus en plus complexes. Le développement frontal doit vérifier de manière répétée les étapes d'accès aux DApps, de connexion au portefeuille, de signature de messages, de signature de transactions et de traitement post-transaction, pour réaliser un saut de "réparation passive" à "immunité active". Ce n'est qu'ainsi que nous pourrons protéger la valeur et la confiance de chaque transaction dans le monde ouvert du Web3.
Bien sûr, l'audit de sécurité des contrats sur la chaîne est indispensable pour chaque Dapp. Les outils de scan de sécurité assistés par l'IA peuvent générer des vérifications formelles et des normes de sécurité assistées par l'IA pour garantir la correction du code, fournir des analyses de similarité de code et de risques de propriété intellectuelle pour un grand nombre de contrats déployés, surveiller en continu et notifier immédiatement les vulnérabilités zero-day et les événements de sécurité pouvant affecter le projet. Certains outils disposent également de modèles IA optimisés basés sur une base de données de vulnérabilités à grande échelle, utilisés pour détecter divers vulnérabilités réelles dans les contrats intelligents.
Cette page peut inclure du contenu de tiers fourni à des fins d'information uniquement. Gate ne garantit ni l'exactitude ni la validité de ces contenus, n’endosse pas les opinions exprimées, et ne fournit aucun conseil financier ou professionnel à travers ces informations. Voir la section Avertissement pour plus de détails.
13 J'aime
Récompense
13
6
Partager
Commentaire
0/400
GameFiCritic
· Il y a 18h
Une nouvelle attaque frontale, la vérification de la visibilité des données n'est toujours pas bien faite.
Voir l'originalRépondre0
MidnightSeller
· Il y a 18h
Encore noir un, c'est vraiment intéressant oh
Voir l'originalRépondre0
AirdropHuntress
· Il y a 18h
Quatorze signatures ont été piégées, c'est une taxe sur le quotient intellectuel.
Voir l'originalRépondre0
quiet_lurker
· Il y a 18h
Les problèmes de sécurité seront toujours une préoccupation majeure !
Voir l'originalRépondre0
BoredApeResistance
· Il y a 18h
Encore se faire prendre pour des cons, que se passe-t-il avec Web3 ?
Voir l'originalRépondre0
ChainWallflower
· Il y a 18h
C'est vraiment sévère, effondrement de 50 d'un grand nombre de personnes.
La plateforme de trading Web3 a été attaquée pour 1,46 milliard de dollars via un Cold Wallet, la sécurité frontale devient un point focal.
Analyse des incidents de sécurité Web3 : une attaque majeure sur le Cold Wallet d'une plateforme de交易
Le 21 février 2025, le portefeuille froid d'Ethereum d'une plateforme de trading bien connue a été attaqué, environ 401 346 ETH, 15 000 cmETH, 8 000 mETH, 90 375 stETH et 90 USDT ont été transférés vers une adresse inconnue, pour une valeur totale d'environ 1,46 milliard de dollars.
L'attaquant a incité le signataire du portefeuille multi-signatures de la plateforme à signer des transactions malveillantes par le biais de techniques de phishing. Les étapes de l'attaque sont les suivantes :
La société de sécurité chargée de mener l'enquête de preuve a actuellement découvert :
D'après les informations existantes, le front-end n'est pas le principal problème, la clé réside dans le fait que le service de stockage en nuage a été piraté, ce qui a entraîné une altération de JavaScript. Mais si la plateforme de gestion de la sécurité avait mis en œuvre une validation d'intégrité de base au niveau du front-end, même si JavaScript avait été modifié, cela n'aurait pas entraîné de conséquences aussi graves. Bien sûr, la plateforme de trading ne peut pas échapper à sa responsabilité, car elle a confirmé les transactions sans que le portefeuille matériel n'affiche les informations spécifiques, ce qui représente déjà un risque en soi concernant la confiance dans le front-end de la plateforme de gestion de la sécurité.
Les portefeuilles matériels présentent des limitations lors du traitement de transactions complexes, car ils ne peuvent pas analyser et afficher complètement les données de transaction détaillées des portefeuilles à signatures multiples, ce qui conduit les signataires à effectuer des "signatures aveugles" sans avoir entièrement vérifié le contenu de la transaction.
Les hackers excellent à exploiter les défauts de conception des processus d'interaction pour tromper les actifs des utilisateurs, tels que le détournement de l'interface utilisateur, la signature trompeuse, l'utilisation de signatures aveugles, l'abus de la signature Permit, le phishing TransferFrom à zéro transfert, l'escroquerie de type airdrop avec les mêmes derniers chiffres, le phishing NFT, etc.
Avec le développement de la technologie Web3, la frontière entre la sécurité frontale et la sécurité de la blockchain devient de plus en plus floue. Les vulnérabilités frontales traditionnelles se voient attribuer de nouvelles dimensions d'attaque dans le contexte Web3, tandis que les problèmes tels que les vulnérabilités des contrats intelligents et les défauts de gestion des clés privées amplifient davantage les risques.
Paramètres de transaction falsifiés : l'interface affiche le transfert, l'autorisation est en réalité exécutée.
L'utilisateur voit une fenêtre contextuelle du portefeuille affichant "Transférer 1 ETH à 0xUser...", mais l'exécution sur la chaîne est en réalité "approve(attacker, unlimited)", les actifs pouvant être transférés à tout moment.
Solution : Vérification de signature structurée EIP-712
Ainsi, toute falsification des paramètres frontaux entraînera un décalage de la signature, et la transaction sera automatiquement annulée.
Détournement de signature aveugle : raisons pour lesquelles les portefeuilles matériels ont été compromis
L'attaquant pourrait détourner le code frontal et envoyer des données de transaction falsifiées au Portefeuille matériel. L'écran du Portefeuille matériel affiche des informations de transaction normales, mais ce qui est réellement exécuté est "approve(attacker, unlimited)".
Solution : analyse sémantique du portefeuille matériel + vérification secondaire en chaîne
Conclusion
L'intégration de la sécurité frontale et de la sécurité Web3 représente à la fois un défi et une opportunité. Cet événement a révélé des problèmes profonds dans la gestion de la sécurité et l'architecture technique de l'industrie des cryptomonnaies. L'industrie doit améliorer de manière globale ses capacités de protection à partir de plusieurs aspects tels que la sécurité des appareils, la validation des transactions et les mécanismes de gestion des risques, afin de faire face à des menaces de plus en plus complexes. Le développement frontal doit vérifier de manière répétée les étapes d'accès aux DApps, de connexion au portefeuille, de signature de messages, de signature de transactions et de traitement post-transaction, pour réaliser un saut de "réparation passive" à "immunité active". Ce n'est qu'ainsi que nous pourrons protéger la valeur et la confiance de chaque transaction dans le monde ouvert du Web3.
Bien sûr, l'audit de sécurité des contrats sur la chaîne est indispensable pour chaque Dapp. Les outils de scan de sécurité assistés par l'IA peuvent générer des vérifications formelles et des normes de sécurité assistées par l'IA pour garantir la correction du code, fournir des analyses de similarité de code et de risques de propriété intellectuelle pour un grand nombre de contrats déployés, surveiller en continu et notifier immédiatement les vulnérabilités zero-day et les événements de sécurité pouvant affecter le projet. Certains outils disposent également de modèles IA optimisés basés sur une base de données de vulnérabilités à grande échelle, utilisés pour détecter divers vulnérabilités réelles dans les contrats intelligents.