Bagaimana Serangan Dilaksanakan

Punca utama eksploit ini adalah kunci peribadi RSA — kunci tandatangan Raiko SGX — yang secara tidak sengaja terdedah di GitHub . Kunci ini, yang digunakan oleh 'prover' Raiko untuk menandatangani secara kriptografi pengesahan blok yang betul, telah disimpan secara umum dalam repositori taikoxyz/raiko selama kira-kira dua tahun . Penyerang menggunakan kunci yang bocor untuk mendaftar 'prover' palsu dan memalsukan bukti pengeluaran pada jambatan rentas rantai Taiko . Secara khusus, mereka mencipta bukti mesej palsu yang diterima oleh Ethereum L1 tanpa sebarang peristiwa sah dihasilkan pada rantai sumber, membolehkan mereka menguras aset dari Vault ERC-20 . Eksploit ini mula dikesan oleh firma keselamatan BlockSec, yang mengenal pasti kunci tandatangan Raiko yang terdedah di GitHub sebagai punca utama . Aset yang dicuri kebanyakannya adalah USDC dan ETH .

Pelan Pemulihan Semula Empat Langkah

Selepas semakan keselamatan bebas mengesahkan laluan serangan telah ditutup, Taiko menggariskan pemulihan semula secara berperingkat :

Langkah 1 — Pulihkan aktiviti rantai. Bawa rangkaian Taiko L2 kembali dalam talian dan sambung semula pengeluaran blok biasa selepas menggunakan tampung keselamatan .

Langkah 2 — Pastikan aset jambatan disokong sepenuhnya 1:1. Sebelum jambatan dibuka semula, pasukan akan menambah semula sepenuhnya semua aset jambatan yang kurang cagaran, menjadikan baki pengguna disokong 100% .

Langkah 3 — Buka semula aktiviti L2 sepenuhnya. Benarkan transaksi L2 normal disambung semula dengan infrastruktur yang telah ditampal .

Langkah 4 — Sambung semula pengeluaran jambatan di bawah kuota konservatif. Pengeluaran dari jambatan akan diperkenalkan semula secara beransur-ansur dengan kuota untuk mengekalkan keselamatan dalam tempoh awal .

Perlindungan Dana Pengguna dan Penambahan Cagaran

Taiko secara jelas menyatakan bahawa "kejadian ini tidak akan mengakibatkan sebarang kerugian dana pengguna" . Eksploit ini meninggalkan jambatan dalam keadaan kurang cagaran buat sementara waktu. Taiko komited untuk menambah semula sepenuhnya cagaran yang hilang sebelum membuka semula jambatan, memastikan semua baki pengguna disokong 1:1 . Pasukan sedang bekerjasama dengan Majlis DAO Taiko dan Majlis Keselamatan untuk menyelaraskan pemulihan . Laporan rasmi juga telah dikemukakan kepada pihak berkuasa Singapura sebagai sebahagian daripada proses kerjasama .

Tindakan Undang-Undang dan Langkah Berjaga-jaga terhadap Penipuan Phishing

Taiko bekerjasama rapat dengan Majlis Keselamatan dan rakan kongsi ekosistem dalam siasatan dan telah menyelaraskan dengan bursa terpusat untuk menyekat deposit TAIKO sebagai langkah berjaga-jaga . Pasukan menggesa pengguna untuk segera mengeluarkan dana dari semua jambatan yang digunakan pada rangkaian Taiko dan memberi amaran bahawa andaian keselamatan di sebalik jambatan tersebut tidak lagi boleh dipercayai semasa kejadian . Taiko juga telah memberi amaran secara terbuka kepada komuniti supaya berwaspada terhadap penipuan 'phishing' dan cubaan menyamar yang sering menyusul eksploit utama, menasihati pengguna untuk hanya mempercayai komunikasi dari saluran media sosial rasmi Taiko . Projek ini sedang mengikuti saluran undang-undang dan siasatan dengan pihak berkuasa penguatkuasaan undang-undang dan rakan kongsi keselamatan untuk mengesan dan berpotensi memulihkan dana yang dicuri, walaupun butiran kes khusus tidak didedahkan kepada umum .

Bagaimana Serangan Dilaksanakan

Punca utama eksploit ini adalah kunci peribadi RSA — kunci tandatangan Raiko SGX — yang secara tidak sengaja terdedah di GitHub . Kunci ini, yang digunakan oleh 'prover' Raiko untuk menandatangani secara kriptografi pengesahan blok yang betul, telah disimpan secara umum dalam repositori taikoxyz/raiko selama kira-kira dua tahun . Penyerang menggunakan kunci yang bocor untuk mendaftar 'prover' palsu dan memalsukan bukti pengeluaran pada jambatan rentas rantai Taiko . Secara khusus, mereka mencipta bukti mesej palsu yang diterima oleh Ethereum L1 tanpa sebarang peristiwa sah dihasilkan pada rantai sumber, membolehkan mereka menguras aset dari Vault ERC-20 . Eksploit ini mula dikesan oleh firma keselamatan BlockSec, yang mengenal pasti kunci tandatangan Raiko yang terdedah di GitHub sebagai punca utama . Aset yang dicuri kebanyakannya adalah USDC dan ETH .

Pelan Pemulihan Semula Empat Langkah

Selepas semakan keselamatan bebas mengesahkan laluan serangan telah ditutup, Taiko menggariskan pemulihan semula secara berperingkat :

Langkah 1 — Pulihkan aktiviti rantai. Bawa rangkaian Taiko L2 kembali dalam talian dan sambung semula pengeluaran blok biasa selepas menggunakan tampung keselamatan .

Langkah 2 — Pastikan aset jambatan disokong sepenuhnya 1:1. Sebelum jambatan dibuka semula, pasukan akan menambah semula sepenuhnya semua aset jambatan yang kurang cagaran, menjadikan baki pengguna disokong 100% .

Langkah 3 — Buka semula aktiviti L2 sepenuhnya. Benarkan transaksi L2 normal disambung semula dengan infrastruktur yang telah ditampal .

Langkah 4 — Sambung semula pengeluaran jambatan di bawah kuota konservatif. Pengeluaran dari jambatan akan diperkenalkan semula secara beransur-ansur dengan kuota untuk mengekalkan keselamatan dalam tempoh awal .

Perlindungan Dana Pengguna dan Penambahan Cagaran

Taiko secara jelas menyatakan bahawa "kejadian ini tidak akan mengakibatkan sebarang kerugian dana pengguna" . Eksploit ini meninggalkan jambatan dalam keadaan kurang cagaran buat sementara waktu. Taiko komited untuk menambah semula sepenuhnya cagaran yang hilang sebelum membuka semula jambatan, memastikan semua baki pengguna disokong 1:1 . Pasukan sedang bekerjasama dengan Majlis DAO Taiko dan Majlis Keselamatan untuk menyelaraskan pemulihan . Laporan rasmi juga telah dikemukakan kepada pihak berkuasa Singapura sebagai sebahagian daripada proses kerjasama .

Tindakan Undang-Undang dan Langkah Berjaga-jaga terhadap Penipuan Phishing

Taiko bekerjasama rapat dengan Majlis Keselamatan dan rakan kongsi ekosistem dalam siasatan dan telah menyelaraskan dengan bursa terpusat untuk menyekat deposit TAIKO sebagai langkah berjaga-jaga . Pasukan menggesa pengguna untuk segera mengeluarkan dana dari semua jambatan yang digunakan pada rangkaian Taiko dan memberi amaran bahawa andaian keselamatan di sebalik jambatan tersebut tidak lagi boleh dipercayai semasa kejadian . Taiko juga telah memberi amaran secara terbuka kepada komuniti supaya berwaspada terhadap penipuan 'phishing' dan cubaan menyamar yang sering menyusul eksploit utama, menasihati pengguna untuk hanya mempercayai komunikasi dari saluran media sosial rasmi Taiko . Projek ini sedang mengikuti saluran undang-undang dan siasatan dengan pihak berkuasa penguatkuasaan undang-undang dan rakan kongsi keselamatan untuk mengesan dan berpotensi memulihkan dana yang dicuri, walaupun butiran kes khusus tidak didedahkan kepada umum .