Lazarus Hake un bit en utilisant Javascript

L'échec de la sécurité qui a amené le récent piratage par le groupe Lazare de se procurer les serveurs de la société Safe, qui propose un service de portefeuille auto-froid pour Ethereum multifirma d'Ethereum (ETH).

Ces informations sont extraites d'un rapport préliminaire préparé par les sociétés Verichains et Signia Labs le 24 février et ont été publiées par Ben Zhou, PDG et co-fondatrice de Bybit, deux jours plus tard. En comparant ce document avec les arguments présentés par Safe le 26 février, des contradictions surviennent.

Des contrats intelligents frauduleux?

Conformément au rapport préliminaire du 24 février partagé par l'échange, le 18 février 2025, à 15:39:11 UTC, le pirate déployé un contrat malveillant Dans une direction qui contenait une logique frauduleuse pour le transfert de fonds.

Alors que le piratage n'aurait été que dans un portefeuille de bordeaux, le document médico-légal d'Exchange indique que quelques heures plus tard, ils ont déployé un autre contrat malveillant dans une autre direction qui avait des capacités de retrait de fonds.

À ce stade, ce qui est indiqué par la société sûre contredit l'échange, car, selon cela, Les contrats intelligents n'ont pas été violés:

Les contrats intelligents de Safe n'ont pas été affectés. Une attaque a été menée en compromettant la machine d'un développeur sûr, qui a affecté un compte exploité par Bybit. Safe a ajouté des mesures de sécurité pour éliminer le vecteur d'attaque.

Rapport sûr.

Enfin, le document énoncé par Bybit s'est poursuivi le 21 février 2025, à 14:13:35 UTC, «l'attaquant a réussi à créer une transaction multiforme qui impliquait trois signataires, dont le PDG de Bybit. Cette transaction a mis à jour le contrat Bybit Multifirma pour le portefeuille froid en toute sécurité, pointant vers un contrat malveillant qui avait été déployé trois jours auparavant ».

Ensuite, comme détail par l'histoire du Bybit, les pirates ont utilisé les fonctions « Porte arrière»Dans le contrat malveillant pour vider le sac. Les attaques « porte dérobée » sont conçues pour transférer automatiquement les crypto-monnaies d'un portefeuille engagé à un sac à main contrôlé par l'attaquant.

Que s'est-il passé selon la sécurité?

Safe soutient que son Les contrats intelligents sont restés entièrement Et que l'intrusion s'est produite pour compromettre l'ordinateur de l'un de ses développeurs, ce qui a affecté un compte utilisé par Bybit.

Cette manœuvre des assaillants a donné naissance à la proposition d'un Transaction malveillante déguiséesans avoir trouvé des vulnérabilités dans les contrats intelligents de sécurité ou dans son code source, selon la société.

Safe a souligné que Lazarus utilisait des techniques d'ingénierie sociale et possible exploits Contre les références du développeur, excluant que le vecteur d'attaque impliquait des échecs dans des infrastructures ou des services sûrs et insinuant que L'attaque était contre les humains, pas contre un matériel.

Selon cette version, l'attaque aurait consisté en l'injection ou la gestion des logiciels directement dans l'environnement personnel du développeur, sans modifier la logique des contrats et n'a pas profité des fonctions de type « Porte arrière«.

Connu de l'explication de Safe, Changpeng Zhao (CZ), co-fondatrice de Binance, le plus grand échange de crypto-monnaie du monde, a critiqué les paroles de cette entreprise.

«Cette mise à jour sûre n'est pas très bonne. Utilisez une langue vague pour ignorer les problèmes. J'ai plus de questions que de réponses après l'avoir lu « 

CZ, Binance Co -founder.

C'était l'attaque, selon Bybit

Le mécanisme de sécurité du billet pour ce portefeuille éther est basé sur plusieurs signatures, connues sous le nom Multisigoù nécessite l'autorisation de plusieurs clés Avant de déplacer des fonds.

En coïncidence avec le rapport Bybit, l'analyste du pseudonyme «Haseb» dans le réseau social X a expliqué qu'un «changement en temps réel a été effectué ('Échange de chaud') de l'interface utilisateur Gnosis SAFE avec le code JavaScript qui ne montrait que le portefeuille froid du bilan ».

Grâce à cette technique, les attaquants ont injecté du code malveillant et ont obtenu un Remplacement direct et en temps réel du logiciel qui contrôle l'interface sécurisée Gnosis (connue sous le nom L'extrémité avant) sans montrer des signaux évidents d'adultération. Après l'insertion de valeurs malveillantes (changements de champs tels que l'adresse de destination, le type de fonctionnement et les données codées) et après avoir exécuté l'attaque, ils ont inversé l'état initial pour maintenir l'apparence légitime du système.

Il «Échange chaud«Il a le but de Remplacer les fichiers ou les scripts Pendant que la plate-forme est en activité, ce qui a empêché le recours ou l'équipe sûre de découvrir rapidement des interférences. La manipulation spécifique envers le froid du portefeuille de borderets suggère une forte connaissance de l'infrastructure d'échange interne par les attaquants. Cela a conduit Haseb à la regret avec une conclusion finale: « Lazarus est à un autre niveau. »

De telle manière, le «Échange chaud»Exécuté contre l'interface sûre montre que les intrus savaient exactement ce que« clé »manipule pour viser le froid du portefeuille, contredisant ce qui a été dit par la sécurité et en manifestant un degré élevé de connaissances sur l'infrastructure et les mécanismes de protection par les attaquants.

Comment les attaquants sont-ils entrés dans des serveurs sûrs?

Le rapport publié par le PDG de Bybit indique que l'attaquant aurait pu accéder au compte AWS S3, un service AWS (Amazon Web Services), qui sert à stocker de grandes quantités d'informations dans le cloud (fichiers, dossiers), et où, souvent, des sites Web, des librairies ou des scripts sont abondants.

Cette version, qui n'a pas été approuvé par la sécuritésuggère également qu'il pourrait y avoir une vulnérabilité dans CloudFront, qui est le réseau de distribution de contenu Amazon qui est responsable de la livraison de ces fichiers rapidement et en toute sécurité aux utilisateurs de différentes régions du monde. Il est essentiel de souligner que le compte AWS et CloudFront de Bybit sont gérés par Safe.

Si quelqu'un obtient des informations d'accès ou des clés privées à partir du compte AWS ou CloudFront, qui gère les fichiers d'un site, pourrait modifier, éliminer ou télécharger de nouveaux contenus.

Par conséquent, la racine de la vulnérabilité se situerait dans laquelle l'attaquant a atteint une intrusion au niveau de l'infrastructure (AWS S3 ou CloudFront) de Safe, ce qui lui a permis d'injecter le script malveillant directement dans cette plate-forme. Cela va au-delà d'une simple erreur de configuration interne de Bybit: c'est la manipulation des serveurs et des services d'un troisième, en toute sécurité, Grâce à des références engagées.

Le piratage de Bybit était de 1,5 milliard de dollars

Les informations, publiées dans le document Bybit sur l'attaque, indiquent que l'intrusion a permis aux attaquants de soustraire les jetons d'éther Environ 1,5 milliard de dollarsSelon Ben Zhou, PDG et co-fondateur de Bybit.

En ce sens, initialement le chiffre volé par le groupe Lazare a été estimé à environ 400 000 ETH, un nombre qui, après le rapport, augmenté à plus de 515 000 ETH.

Par la suite, comme l'a rapporté Cryptonotia, le groupe Lazare a déplacé une partie de ces avoirs à travers décentralisé (DEX).