Алгоритм атаки хакера на холодный кошелёк ByBit: Подробный разбор
3
0
Взлом холодного кошелька ByBit, который привёл к краже $1,4 миллиарда в Ethereum, произошёл с использованием хитроумного сочетания методов социальной инженерии и манипуляции с кодом. Основные шаги, которые, вероятно, предпринял хакер, можно условно разделить на несколько этапов.
Подготовка атаки: Социальная инженерия и фишинг
Хотя конкретных данных о том, был ли использован фишинг непосредственно, нет, можно предположить, что хакер применил элементы социальной инженерии. Это классический метод манипуляции людьми для получения доступа к данным, кошелькам или системам. В контексте криптовалютных бирж фишинг может включать:
- Имитацию доверенных источников: Хакер мог отправить фишинговые письма сотрудникам ByBit или владельцам ключей холодных кошельков, выдавая себя за официального представителя биржи, что заставило бы их раскрыть свои личные данные или подтвердить вредоносные транзакции.
- Скрипты или фальшивые страницы: Хакер мог подменить веб-интерфейс для того, чтобы сотрудник подписал транзакцию, не заметив фальшивых данных.
Однако на основе текущей информации более вероятно, что манипуляции с интерфейсами кошельков стали ключевым фактором, а социальная инженерия могла быть использована на предварительных этапах для доступа к данным или ключам.
Манипуляция с логикой смарт-контракта
Суть атаки заключалась в том, что злоумышленник каким-то образом заставил подписантов транзакции одобрить изменения в логике смарт-контракта. Это происходило через подмену интерфейса — визуальной части кошелька, с которой работают пользователи. В данном случае хакер создал фальшивую транзакцию, которая выглядела абсолютно безопасной.
- Изменение логики подписания: Атака заключалась в том, чтобы заставить владельцев кошельков (или ответственных за мультиподписные транзакции) подписать вредоносное изменение. Когда подписанты переходят на интерфейс кошелька, они видят стандартную информацию: адреса отправителя и получателя, сумму и прочее. Однако хакер модифицировал только скрытые данные — логические условия смарт-контракта, которые не отображаются в обычном интерфейсе.
- Подмена фронтенда: Хакер мог внедрить скрипты, которые позволяли изменять отображение данных на экране. Таким образом, пользователи видели стандартную информацию и не заметили изменений, которые имели бы последствия для смарт-контракта.
Использование мультиподписного кошелька и ошибки человеческого фактора
В случае с ByBit использовался мультиподписной кошелёк (multisig), для совершения транзакций с которого требуется несколько подписей. Хотя мультиподписные кошельки обычно считаются более безопасными, эта схема всё равно имеет уязвимости. Во-первых, большинство мультиподписных кошельков имеют интерфейсы, которые не всегда показывают полную картину происходящего. Важно, чтобы подписанты проверяли каждое изменение, но в условиях фальшивого интерфейса они могли пропустить критическую деталь.
- Ошибка человеческого фактора: Люди, подписывающие транзакции, вероятно, не заметили, что подписывают изменения в смарт-контракте, которые фактически разрешают хакеру вывод средств. Это подчеркивает важность осторожности при работе с мультиподписными кошельками. Если пользователи не всегда проверяют детали транзакции (например, адреса, которые не отображаются на экране), их можно легко обмануть.
Перевод средств и сокрытие следов
После того как транзакция была подписана, средства, хранящиеся на холодном кошельке ByBit, были переведены на адрес хакера. Затем они были быстро разбросаны по десяткам кошельков для того, чтобы скрыть следы и затруднить отслеживание активов. Применение техник обмывания (tumbling) стало стандартной практикой для хакеров, чтобы вывести средства на децентрализованные биржи или изменить их в различные активы, минимизируя шансы на возврат украденного.
- Диверсификация средств: Хакер перевёл средства в стейканное Ethereum (stETH) и затем продолжил их ликвидировать на децентрализованных платформах. Это помогает сделать средства более трудно отслеживаемыми и менее уязвимыми для заморозки.
Последствия и возможные способы возврата
После того как средства были выведены, команда ByBit заявила, что другие холодные кошельки биржи остаются в безопасности, и постараются вернуть похищенные средства. Однако, как показали предыдущие случаи с криптовалютными взломами, полностью вернуть украденные средства будет крайне сложно, особенно если хакер использует методы обмывания и разделения активов.
Таким образом, хакер использовал комбинированный метод социальной инженерии (для получения доступа и манипуляции с транзакциями) и техническую манипуляцию с логикой смарт-контракта (для обхода стандартных механизмов безопасности).
Выводы и Итоги
Атака на ByBit показывает, насколько важно уделять внимание как техническим, так и человеческим факторам в сфере безопасности криптовалютных бирж. Использование подмены интерфейса, манипуляции с логикой смарт-контрактов и ошибок в мультиподписных системах создают уязвимости, которые могут быть использованы злоумышленниками. Для предотвращения таких инцидентов необходимо улучшать не только криптографические и технологические решения, но и обучение пользователей и сотрудников в области безопасности.
