Поставщик кошельков для сети Algorand (ALGO), MyAlgo, предупредил своих пользователей, чтобы они выводили средства из любых кошельков, созданных с помощью seed-фразы, на фоне продолжающегося эксплойта, в результате которого были украдены средства на сумму около 9,2 миллиона долларов.
MyAlgo написал в Твиттере совет 27 февраля, добавив, что до сих пор не знает причины недавних взломов кошельков, и призвал «всех принять меры предосторожности для защиты своих активов».
Ранее, 27 февраля, команда опубликовала в Твиттере предупреждение о «целевой атаке […] против группы высокопоставленных учетных записей MyAlgo», которая, по-видимому, была проведена на прошлой неделе.
Одноименный «сетевой сыщик» ZachXBT сообщил в своем твите от 27 февраля, что подозревается, что эксплойт похитил более 9,2 миллиона долларов, а криптовалютная биржа ChangeNOW смогла заморозить средства на сумму около 1,5 миллиона долларов.
По данным MyAlgo, особенно уязвимыми для эксплойта были пользователи, у которых были мнемонические кошельки с ключом, хранящимся в интернет-браузере. Мнемонический кошелек обычно использует от 12 до 24 слов для генерации закрытого ключа.
Джон Вуд, главный технический директор органа управления сетями Algorand Foundation, 27 февраля сообщил в Twitter, что эксплойт затронул около 25 учетных записей.
Он добавил, что эксплойт «не является результатом основной проблемы с протоколом Algorand» или его комплектом для разработки программного обеспечения.
Связанный: 700 000 долларов слито из протокола DeFi на основе цепочки BNB LaunchZone
Коллектив разработчиков Algorand D13.co 27 февраля опубликовал отчет, в котором устранены несколько возможных векторов эксплойтов, таких как вредоносное ПО или уязвимости операционной системы.
В отчете определено, что «наиболее вероятные» сценарии заключаются в том, что начальные фразы затронутых пользователей были скомпрометированы с помощью фишинговых атак с использованием социальной инженерии или был скомпрометирован веб-сайт MyAlgo, что привело к «целевой краже незашифрованных закрытых ключей».
MyAlgo заявила, что продолжит работу с властями и проведет «тщательное расследование, чтобы определить основную причину атаки».
Термины в новости
- Seed-фраза
- Набор из 12 или 24 слов, из которого кошелёк восстанавливает все ключи. Её нельзя хранить в облаке и никому сообщать.
- Эксплойт (exploit)
- Атака, использующая ошибку в коде смарт-контракта или протокола, чтобы вывести средства. В отличие от взлома ключей, злоумышленник действует «по правилам» уязвимого кода.
- Приватный ключ
- Секретное число, которое даёт полный контроль над монетами на адресе. Кто знает ключ — тот распоряжается средствами.
- DeFi
- Децентрализованные финансы: обмен, кредиты, депозиты и другие финансовые сервисы на смарт-контрактах, без банков и брокеров.
