La plate-forme Ethereum Layer 2, Résumé, a publié un premier post-mortem sur un incident de sécurité qui a entraîné le compromis d'environ 400 000 $ d'ETH dans 9 000 portefeuilles interagissant avec Cardex, un jeu basé sur la blockchain sur son réseau.
Le rapport a précisé que la violation provenait de vulnérabilités dans le code frontal de Cardex plutôt que d'un problème avec les contrats de validation de la clé de base de Résumé ou de la session.
Compromis de portefeuille Cardex
L'incident a tourné autour de l'utilisation abusive des clés de session, un mécanisme dans le portefeuille mondial abstrait (AGW) qui permet des autorisations temporaires et dans l'amélioration de l'expérience utilisateur.
Bien que les clés de session elles-mêmes soient une fonction de sécurité bien auditée, Cardex a fait une erreur critique en utilisant un portefeuille de signataires de session partagé pour tous les utilisateurs, une pratique qui n'est pas recommandée. Cette faille a été encore amplifiée par l'exposition de la clé privée du signataire de la session au code frontal de Cardex, ce qui a finalement conduit à l'exploit.
Selon l'analyse des causes profondes de Résumé, les attaquants ont identifié une session ouverte d'une victime, ont lancé une transaction Buyshares en leur nom, puis ont utilisé la clé de session compromise pour transférer les actions à eux-mêmes avant de les vendre sur la courbe de liaison Cardex pour extraire ETH.
Surtout, seul l'ETH utilisé dans Cardex a été affecté. Pendant ce temps, les jetons ERC-20 et NFT des utilisateurs sont restés sécurisés en raison des limitations des autorisations de clé de session.
Le calendrier des événements indique que les premiers signes d'activité suspecte ont été signalés à 6 h 07 HNE le 18 février lorsqu'un développeur a publié un lien de transaction montrant une adresse qui vide les fonds. En moins de 30 minutes, Cardex a été soupçonné comme source de l'exploit, et les équipes de sécurité se sont rapidement mobilisées pour enquêter.
En quelques heures, des mesures d'atténuation ont été prises. Cela comprenait le blocage de l'accès à Cardex, le déploiement d'un site de révocation de session, ainsi que la mise à niveau du contrat affecté pour éviter d'autres transactions.
Résumé a décrit plusieurs mesures pour prévenir les incidents futurs de cette nature. À l'avenir, toutes les applications répertoriées dans son portail doivent subir un examen de sécurité plus stricte, y compris les audits de code frontal pour empêcher l'exposition de clés sensibles. De plus, l'utilisation des clés de session sur les applications énumérées sera réévaluée pour assurer des pratiques de portée et de stockage appropriées. La documentation sur la mise en œuvre des clés de session sera mise à jour pour renforcer les meilleures pratiques.
Qu'est-ce qui nous attend
En réponse à cette violation, Résumé intégre également les outils de simulation de transaction de BlockAid dans AGW, ce qui aidera les utilisateurs à voir quelles autorisations ils accordent lors de la création de clés de session. D'autres collaborations avec privés et blockaid sont en cours pour améliorer la sécurité des clés de session.
Un tableau de bord clé de session sera également introduit dans le portail, qui devrait donner aux utilisateurs une interface centralisée pour examiner et révoquer leurs sessions ouvertes.
Binance GRATUIT 600 $ (Cryptopotato Exclusive): Utilisez ce lien pour enregistrer un nouveau compte et recevoir une offre de bienvenue exclusive de 600 $ sur Binance (tous les détails).
Offre limitée pour les lecteurs de cryptopotates chez Bybit: Utilisez ce lien pour enregistrer et ouvrir une position gratuite de 500 $ sur n'importe quelle pièce!
Voir l’article original en anglais
