Експлойт мосту Taiko: викрадено $1,7 млн через ключ на GitHub — чотириетапний план відновлення

Як було здійснено атаку

Основною причиною став RSA-приватний ключ — ключ підпису SGX-анклаву Raiko, який випадково потрапив у відкритий доступ на GitHub . Цей ключ, який використовувався провізором Raiko для криптографічного підпису атестацій правильної верифікації блоків, був публічно закомічений до репозиторію taikoxyz/raiko приблизно два роки тому . Зловмисник використав витік ключа, щоб зареєструвати шахрайських провізорів та підробити докази виведення коштів на крос-чейн мосту Taiko . Зокрема, він створив підроблений доказ повідомлення, який був прийнятий на Ethereum L1 без генерації легітимної події на вихідному ланцюгу, що дозволило йому вивести активи з ERC-20 Vault . Експлойт першою виявила компанія з безпеки BlockSec, яка ідентифікувала оприлюднений ключ підпису Raiko на GitHub як першопричину . Вкрадені активи були переважно в USDC та ETH .

Чотириетапний план перезапуску

Після того, як незалежні аудити безпеки підтвердили, що вектор атаки закрито, Taiko окреслила поетапний перезапуск :

Крок 1 — Відновлення активності мережі. Повернення мережі Taiko L2 онлайн та відновлення нормального виробництва блоків після встановлення патча безпеки .

Крок 2 — Забезпечення повного покриття активів мосту 1:1. Перед повторним відкриттям мосту команда повністю поповнить всі недозабезпечені активи мосту, зробивши баланси користувачів 100% забезпеченими .

Крок 3 — Повне відновлення L2-активності. Відновлення звичайних L2-транзакцій з оновленою інфраструктурою .

Крок 4 — Відновлення виведення коштів з мосту з консервативними лімітами. Виведення коштів з мосту буде поступово відновлено з квотами для забезпечення безпеки на початковому етапі .

Захист коштів користувачів та поповнення забезпечення

Taiko чітко заявила, що "цей інцидент не призведе до жодних втрат коштів користувачів" . Експлойт тимчасово залишив міст недозабезпеченим. Taiko зобов'язалася повністю поповнити нестачу забезпечення до відновлення роботи мосту, гарантуючи, що всі баланси користувачів будуть забезпечені 1:1 . Команда співпрацює з Радою Taiko DAO та Радою безпеки для координації відновлення . Офіційний звіт було подано до сингапурських органів влади в рамках спільного процесу .

Юридичні дії та запобіжні заходи щодо фішингу

Taiko тісно співпрацює зі своєю Радою безпеки та партнерами по екосистемі в рамках розслідування, а також скоординувала дії з централізованими біржами для блокування депозитів TAIKO як запобіжний захід . Команда закликала користувачів негайно вивести кошти з усіх мостів, розгорнутих у мережі Taiko, і попередила, що на припущення безпеки, що лежать в основі цих мостів, більше не можна покладатися під час інциденту . Taiko також публічно попередила спільноту про необхідність бути пильними щодо фішингових атак та спроб видавання себе за інших осіб, які часто відбуваються після великих експлойтів, радячи користувачам довіряти лише повідомленням з офіційних каналів соціальних мереж Taiko . Проект веде юридичні та слідчі дії з правоохоронними органами та партнерами з безпеки для відстеження та потенційного повернення викрадених коштів, хоча конкретні деталі справи не були оприлюднені .