Сообщается, что права владельца контракта WEMIX были скомпрометированы, что привело к незаконному выпуску и переводу токенов на сумму $6,25 млн. Инцидент вновь привлек внимание к безопасности административных ключей в инфраструктуре блокчейн-игр и других системах смарт-контрактов.

Сообщаемые детали инцидента с выпуском токенов WEMIX

Сообщаемое нарушение было связано с компрометацией прав владельца контракта. В смарт-контракте права владельца — это повышенные разрешения, назначенные определенному адресу, которые позволяют выполнять административные действия, такие как выпуск новых токенов, приостановка переводов или обновление логики контракта.

Когда эти разрешения оказываются под контролем злоумышленника, он фактически может действовать с полномочиями самого проекта. В данном случае результатом стало несанкционированное создание токенов и их последующий перевод, согласно сообщению, опубликованному WEMIX Foundation.

WEMIX ранее уже сталкивался с инцидентами безопасности. Его Play Bridge был эксплуатирован в отдельной атаке, которая привела к хищению примерно $6,1 млн, по данным BleepingComputer.

Операционные детали последней компрометации прав владельца остаются неподтвержденными на основе имеющихся доказательств. Пока не установлено, каким образом был получен доступ, были ли восстановлены какие-либо средства и какие дополнительные меры по устранению последствий могли быть приняты. Детали помимо сообщаемого несанкционированного выпуска и перевода токенов следует считать непроверенными, если они не подтверждены первичными источниками.

Последствия для держателей токенов и безопасности смарт-контрактов

Компрометация прав владельца контракта указывает на слабость контроля доступа и административных ключей, а не на проблему, связанную с рыночными условиями. В токен-контрактах, где ключ владельца может управлять функциями, связанными с предложением, сторона, контролирующая этот ключ, может выпускать токены или выполнять другие чувствительные административные действия. Это делает привилегированные ключи одними из самых ценных целей в системах Web3.

Несанкционированный выпуск имеет значение для держателей, поскольку вновь созданные токены могут размывать существующее предложение и быть переведены до того, как проект сможет отреагировать. Даже до появления полных технических деталей незаконный выпуск может вызвать вопросы о надежности механизмов контроля предложения токена. Для затронутых пользователей и контрагентов наиболее важными обновлениями будут раскрытия из первичных источников о скомпрометированных разрешениях, отслеживании транзакций, а также о том, были ли изменены или ограничены средства управления контрактом или административные ключи.

Инцидент отражает более широкую проблему безопасности в криптосекторе. Основатель Binance CZ ранее предупреждал, что скрытые риски безопасности могут существовать внутри криптоопераций, которые внешне выглядят надежными, а управление привилегиями остается повторяющимся операционным риском.

Атаки, ориентированные на людей, также остаются распространенным путем к компрометации ключей. Binance проводит внутренние фишинговые тесты red team с последствиями за повторные неудачи, в то время как исследователи задокументировали, как BlueNoroff использовала поддельные встречи в Zoom и Teams для атак на пользователей криптовалют и сбора учетных данных.

Для более широкого сектора урок безопасности заключается в том, что привилегированные функции контрактов должны быть защищены такими механизмами, как мультиподписная авторизация, таймлоки и непрерывный мониторинг, чтобы аномальный выпуск токенов или другие чувствительные действия можно было обнаружить и остановить до вывода стоимости из системы.