Taikon silta-murto: Kuinka vuotanut GitHub-avain johti 1,7 miljoonan dollarin varkauksiin

Miten hyökkäys toteutettiin

Hyökkäyksen perimmäinen syy oli RSA-yksityisavain – Raikon SGX-suojausalueen allekirjoitusavain – joka oli vahingossa päätynyt GitHubiin . Tätä avainta, jota Raiko-todentaja käytti oikean lohkovarmennuksen kryptografiseen allekirjoittamiseen, oli säilytetty julkisesti taikoxyz/raiko-arkistossa noin kaksi vuotta . Hyökkääjä käyttää vuotanutta avainta rekisteröidäkseen vilpillisiä todentajia ja väärentääkseen nostotodisteita Taikon siltaratkaisussa . Erityisesti he loivat väärennetyn viestitodisteen, joka hyväksyttiin Ethereum L1:ssä ilman, että lähdeketjussa olisi syntynyt laillista tapahtumaa. Tämä mahdollisti varojen tyhjentämisen ERC-20-säiliöstä . Tietoturvayritys BlockSec havaitsi hyökkäyksen ensimmäisenä ja tunnisti vuotaneen Raiko-allekirjoitusavaimen perimmäiseksi syyksi . Varastetut varat olivat pääasiassa USDC:tä ja ETH:ta .

Nelivaiheinen uudelleenkäynnistyssuunnitelma

Kun riippumattomat tietoturvatarkastukset olivat vahvistaneet hyökkäysreitin olevan tukossa, Taiko hahmotteli vaiheittaisen uudelleenkäynnistyksen :

Vaihe 1 – Palauta ketjun toiminta. Tuo Taiko L2 -verkko takaisin verkkoon ja jatka normaalia lohkotuotantoa tietoturvakorjauksen käyttöönoton jälkeen .

Vaihe 2 – Varmista siltavarojen täysi kattavuus. Ennen sillan uudelleenavaamista tiimi täydentää kaikki alivakuudelliset siltavarat, jolloin käyttäjien saldot ovat 100-prosenttisesti katettuja .

Vaihe 3 – Avaa L2-toiminta täysimittaisesti. Salli normaalit L2-tapahtumat korjatun infrastruktuurin kanssa .

Vaihe 4 – Poista nostotauko sillasta konservatiivisilla kiintiöillä. Siltanostot otetaan käyttöön asteittain kiintiöiden avulla turvallisuuden ylläpitämiseksi alkuvaiheessa .

Käyttäjien varojen turvaaminen ja vakuuksien täydentäminen

Taiko ilmoitti nimenomaisesti, että "tämä tapaus ei johda minkäänlaiseen käyttäjävarojen menetykseen" . Hyökkäys jätti sillan väliaikaisesti alivakuudelliseksi. Taiko sitoutui täydentämään puuttuvat vakuudet täysimääräisesti ennen sillan uudelleenavaamista ja varmistamaan, että kaikki käyttäjien saldot ovat 1:1-suhteessa katettuja . Tiimi tekee yhteistyötä Taikon DAO-neuvoston ja turvallisuusneuvoston kanssa palautuksen koordinoimiseksi . Myös virallinen raportti toimitettiin Singaporen viranomaisille yhteistyöprosessin osana .

Oikeudelliset toimet ja tietojenkalastelun vastaiset varotoimet

Taiko tekee tiivistä yhteistyötä turvallisuusneuvostonsa ja ekosysteemikumppaneidensa kanssa tutkinnassa ja on koordinoinut keskitettyjen pörssien kanssa TAIKO-talletusten estämistä varotoimenpiteenä . Tiimi kehotti käyttäjiä välittömästi nostamaan varat kaikista Taikon verkossa käytössä olevista silloista ja varoitti, ettei näiden siltojen tietoturvaoletuksiin voitu enää luottaa hyökkäyksen aikana . Taiko on myös julkisesti varoittanut yhteisöä tarkkaavaisuudesta tietojenkalasteluhuijausten ja identiteettivarkausyritysten suhteen, jotka usein seuraavat suuria hyökkäyksiä, ja neuvonut käyttäjiä luottamaan vain Taikon virallisiin sosiaalisen median kanaviin . Projekti ryhtyy oikeudellisiin ja tutkinnallisiin toimiin lainvalvontaviranomaisten ja turvallisuuskumppaneiden kanssa varastettujen varojen jäljittämiseksi ja mahdolliseksi takaisin saamiseksi, vaikka tapauksen yksityiskohtia ei ole julkistettu .