Kế Hoạch Thiện Chí Của AFX Sau Vụ Khai Thác
AFX đã thông báo rằng họ đang chuẩn bị một kế hoạch thiện chí dành cho người dùng bị ảnh hưởng bởi vụ khai thác cầu trị giá 24,15 triệu USD xảy ra vào tuần trước. Đề xuất phục hồi dự kiến sẽ được công bố vào ngày 3 tháng 8.
Thông Báo Từ AFX
Theo thông báo từ AFX, giao thức phái sinh phi tập trung này đang hoàn thiện kế hoạch thiện chí sau sự cố bảo mật xảy ra vào ngày 22 tháng 7 và sẽ công bố chi tiết vào thứ Hai, ngày 3 tháng 8. Nhóm phát triển cho biết các nhà đầu tư, nhân viên và những người ủng hộ sớm đều bị ảnh hưởng bởi cuộc tấn công và đã yêu cầu cộng đồng kiên nhẫn trong khi họ hoàn thiện đề xuất cuối cùng.
“Chúng tôi muốn chia sẻ một cập nhật ngắn gọn với cộng đồng. Một kế hoạch thiện chí hiện đang được thực hiện sau sự cố bảo mật gần đây và sẽ được công bố vào thứ Hai, ngày 3 tháng 8. Các nhà đầu tư AFX, đội ngũ và những người ủng hộ sớm đều bị ảnh hưởng sâu sắc bởi tình hình này, vì vậy xin hãy kiên nhẫn…”
Chi Tiết Về Vụ Khai Thác
Cập nhật này được đưa ra sau khi AFX hoàn thành cuộc điều tra kỹ thuật về vụ khai thác, dẫn đến việc đánh cắp khoảng 24,15 triệu USDC từ một cầu lưu ký do AFX điều hành. Giao thức vẫn chưa công bố cách thức bồi thường hoặc phục hồi sẽ được cấu trúc, nhưng cho biết thông báo tiếp theo của họ sẽ tập trung vào kế hoạch thiện chí.
Các tuyên bố công khai trước đó xác nhận rằng vụ khai thác nhắm vào cơ sở hạ tầng do AFX điều hành, chứ không phải cầu gốc của Arbitrum. Vào thời điểm đó, công ty bảo mật blockchain Blockaid và nhóm Arbitrum đã điều tra sự cố, trong khi đồng sáng lập Offchain Labs, Steven Goldfeder, cho biết giao dịch đáng ngờ xuất phát từ một giao thức bên thứ ba thay vì cầu gốc của Arbitrum.
Phân Tích Vụ Tấn Công
Trong một bài phân tích chi tiết được phát hành sau sự cố, AFX cho biết lỗ hổng xuất phát từ một chiến dịch kỹ thuật xã hội nhằm vào một trong những nhà phát triển của họ, chứ không phải từ một lỗ hổng trong hợp đồng thông minh hoặc cơ sở hạ tầng blockchain của họ. Theo giao thức, kẻ tấn công đã giả mạo là một nhà tuyển dụng từ một công ty có tên Oddium Lab vào ngày 9 tháng 7 và đã thuyết phục nhà phát triển sao chép một kho phần mềm có vẻ hợp pháp.
AFX cho biết kho này chứa một cấu hình Git độc hại đã thực thi một payload ẩn trong quá trình làm việc Git thông thường, cho phép kẻ tấn công có được một vị trí ban đầu bên trong máy trạm của nhà phát triển. Sử dụng thiết bị bị xâm phạm, kẻ tấn công đã dần mở rộng quyền truy cập trên các hệ thống phát triển nội bộ trước khi tải xuống mã nguồn dự án vài ngày sau đó.
Hậu Quả và Điều Tra
Cuộc điều tra cho biết kẻ tấn công sau đó đã tải lên một plugin Groovy độc hại vào kho JFrog artifact của giao thức, đạt được quyền thực thi mã từ xa trong môi trường phân phối phần mềm. Theo AFX, các sự kiện hết bộ nhớ lặp đi lặp lại trên máy chủ JFrog ban đầu được coi là vấn đề vận hành với sự hỗ trợ từ nhà cung cấp, cho phép plugin độc hại tồn tại qua nhiều lần khởi động mà không kích hoạt phản ứng bảo mật.
Phân tích pháp y sau đó phát hiện rằng kẻ tấn công đã thay thế các tệp nhị phân hệ thống bằng các phiên bản trojan, tiêm các thư viện chia sẻ độc hại và cố gắng xóa các nhật ký bảo mật trước khi một phần của mã độc bị sập. Nhật ký SELinux đã ghi lại lưu lượng điều khiển và điều khiển ra ngoài, thực thi shell và thực thi mã trong bộ nhớ, trở thành bằng chứng quan trọng trong cuộc điều tra, theo báo cáo.
Kết Luận
Giao thức cho biết kẻ tấn công cuối cùng đã chuyển từ môi trường phát triển bị xâm phạm vào cơ sở hạ tầng vận hành của nó bằng cách sử dụng một dịch vụ quản lý dựa trên Ansible nội bộ đã có quyền truy cập đặc quyền vào các nút xác thực. Thay vì đánh cắp thông tin đăng nhập mới hoặc khai thác một dịch vụ bên ngoài, kẻ tấn công đã sử dụng các mối quan hệ tin cậy hiện có để triển khai các payload độc hại trên một tập hợp con của các nút xác thực.
Vào lúc 9:27 tối UTC ngày 22 tháng 7, các nút xác thực bị ảnh hưởng đã đồng ký một giao dịch cầu chuyển khoảng 24,15 triệu USDC từ cầu lưu ký do AFX điều hành. Giao thức cho biết cuộc điều tra của họ không tìm thấy bằng chứng nào cho thấy mạng Arbitrum hoặc cầu gốc của Arbitrum đã bị xâm phạm.
Cuộc tấn công vẫn bị giới hạn trong cơ sở hạ tầng do AFX quản lý, phù hợp với các tuyên bố trước đó được đưa ra bởi Offchain Labs và Blockaid trong phản ứng ban đầu. Các nhà điều tra trên chuỗi sau đó đã theo dõi USDC bị đánh cắp sau khi nó di chuyển từ Arbitrum sang Ethereum, nơi số tiền thu được đã được chuyển đổi thành khoảng 12.467 ETH.
Vào thời điểm cuộc điều tra ban đầu, không có báo cáo công khai nào xác nhận rằng bất kỳ phần nào của tài sản bị đánh cắp đã được phục hồi. Theo AFX, sự cố này đã chứng minh rằng các cuộc tấn công chuỗi cung ứng phần mềm có thể vượt qua bảo mật blockchain mà không khai thác trực tiếp các hợp đồng thông minh.
Giao thức kết luận rằng cuộc tấn công dựa vào các công cụ phát triển đáng tin cậy, hệ thống triển khai nội bộ và cơ sở hạ tầng xác thực thay vì các điểm yếu trong mã trên chuỗi.
