Разбор атаки на Venus: основатель, попавшийся на фишинг, и ликвидированные похитители

  Автор: Rekt News   

Подготовка: TechFlow

Нажатие сюда обошлось в 13 миллионов долларов.

Один из китов Venus Protocol только что на собственном болезненном опыте понял, что стоимость звонков в Zoom может оказаться выше вашей ипотеки.

Вредоносный видеоклиент, идеально выверенное во времени подтверждение транзакции, и 13 миллионов долларов исчезают быстрее, чем анонс rug pull.

Но поворотный момент истории заключается в том, что Venus не стал просто бессильно наблюдать, как пользователь лишается средств, и остался равнодушным.

Они отключили свой протокол, экстренно инициировали голосование и менее чем за 12 часов реализовали самое спорное «оперативное вмешательство» в сфере DeFi.

То, что начиналось как обычная фишинговая атака, в конечном итоге превратилось в захватывающий урок о том, способен ли децентрализованный протокол совместить несовместимое.

Когда спасение кита означает раскрытие скрытого в протоколе аварийного выключателя, кто же на самом деле был спасен?

Источники: PeckShield, Venus Protocol, Blocksec, Квань Сун

2 сентября в 09:05 по UTC. Один из китов Venus Protocol запустил клиент Zoom, готовясь начать новый день дел в сфере DeFi.

Но казалось бы безобидное видео-приложение было тайно взломано, позволив злоумышленникам получить полный доступ к устройству жертды через бэкдор.

Зачем взламывать код? Разве проще не пробить доверие напрямую?

Жертва подписала транзакцию об одобрении расходов (allowance)—рутинную операцию предоставления прав доступа, которая в DeFi выполняется тысячи раз ежедневно.

Протоколы позволяют управлять вашими позициями без обращения к приватным ключам. Как правило, такие подтверждения оформляются быстрее, чем чтение пользовательского соглашения.

Клик. Подпись. Мгновенная “ликвидация”.

От подписания до финансового краха прошло всего шесть секунд.

Скомпрометированный видеоклиент стольким образом безвозвратно передал права управления кошельком стоимостью 13 миллионов долларов хакеру, терпеливо ожидавшему своего часа.

Большинство историй о фишинге заканчиваются здесь: кит попадает впросак, хакер исчезает в тени, а насмешки над жертдой в Twitter длятся неделю.

Но в этот раз планы вора были куда более амбициозны, чем простое “разграбление”.

Что происходит, когда кража нескольких миллионов долларов перестает удовлетворять преступника?

Атака и кража

В 09:05:36 по UTC. Всего через шесть секунд после того, как кит подписал свое “криптографическое самоубийственное соглашение”, злоумышленник инициировал свой “шедевр” с использованием флэш-кредита.

Транзакция с уязвимостью: 0x4216f924ceec9f45ff7ffdfdad0cea71239603ce3c22056a9f09054581836286

Постфактум анализ со стороны Venus Protocol детально разобрал стратегию действий злоумышленника:

Шаг первый: Взять в кредит под молнию 285,72 BTCB — ведь зачем использовать собственные средства? DeFi позволяет занимать миллионы без залога.

Шаг второй: Погасить текущие долги жертды взятыми средствами, дополнительно внесев 21 BTCB со счета самого злоумышленника. Выглядит щедро, но на деле это беспощадное “бухгалтерское убийство”.

Шаг третий: Активировать право на расходование средств. Перевести все цифровые активы жертды — включая 19,8 млн долларов в vUSDT, 7,15 млн долларов в vUSDC, 285 BTCB и длинный список других токенов. Все это совершенно законно, поскольку “наивная” подпись, оформленная шесть секунд назад, уже предоставила соответствующие разрешения.

Шаг четвертый: Совершенный удар. Использовать только что украденные активы в качестве залога и занять 7,14 млн долларов в USDC, опираясь на оставшийся BNB жертды. Злоумышленник не просто опустошил кошелек, но и заставил жертду платить за собственную “кражу”.

Шаг пятый: Занять достаточное количество BTCB для погашения флэш-кредита. Транзакция завершена, хакер незаметно исчезает.

Одна автоматизированная транзакция, один опустошенный кит и крайне довольный криптографический вор — который только что превратил чужие жизненные накопления в личный залоговый полигон.

Однако жажда наживы часто превращает хищника в добычу.

Что происходит, когда “идеальная кража” превращается в “самоубийственную миссию”?

Реакция и контрмеры

В 09:09 по UTC. Через четыре минуты после ограбления в сети системы мониторинга Hexagate и Hypernative начали подавать сигналы тревоги.

Это была далеко не обычная уведомление о “подозрительной транзакции”...

Перед нами было предупреждение уровня 5 стоимостью в 13 миллионов долларов, и специалисты по безопасности мгновенно поняли, кому стоит сообщить.

Ответ Venus Protocol? Запуск ядерного варианта.

От кражи до приостановки работы протокола прошло всего двадцать минут. Venus активировали собственный аварийный выключатель, полностью заморозив все ключевые функции экосистемы.

Заимствования? Остановлены. Вывод средств? Приостановлен. Ликвидация? Остановлена.

Один пользователь подвергся фишингу, и весь протокол оказался остановлен.

Это выходило за рамки простого антикризисного управления — речь шла о полномасштабной финансовой битве.

Venus решительно ограничили работу собственной платформы, пытаясь запереть украденные хакерами средства внутри.

Каждый vToken, оказавшийся в руках хакера, мгновенно обратился в бесценную макулатуру, заблокированную под чрезвычайными полномочиями Venus.

Но стоит ли ради спасения одного кита замораживать весь протокол DeFi? Подобное решение нельзя было принять разработчикам в одиночку.

На сцену выходит демократия: экстренное голосование по управлению.

Действительно ли это можно назвать децентрализацией, когда сообществу отводится всего двенадцать часов на решение вопроса о спасении активов пользователя централизованными методами?

Молниеносная демократия

Venus не только поставили протокол на паузу, но и собрали экстренное “онлайн-совещание”, вызвавшее зависть у любых команд реагирования на кризисы в Web2.

Они назвали его “молниеносным голосованием”.

В конце концов, нет ничего лучше для демонстрации “базового уровня управления”, чем сжать решения на миллионы долларов в несколько часов жарких споров в Discord.

Предложение было предельно простым и понятным:

Фаза первая: Частичное восстановление функций (чтобы избежать ликвидации пользователей).

Фаза вторая: Принудительная ликвидация позиций атакующего.

Фаза третья: Проведение комплексной проверки безопасности во избежание подобных инцидентов в будущем.

Фаза четвертая: Полное возобновление работы Venus.

Реакция сообщества?100% единогласное одобрение.

Не 99%. И даже не 98%.

Каждый голос поддержал план действий Venus, словно результаты выборов в децентрализованном варианте Северной Кореи.

Возможно, это настоящий консенсус, а может, просто акт самосохранения.

Или же, когда ваш протокол теряет миллионы долларов, а конкуренты кружат вокруг, как стервятники, любые разногласия становятся роскошью, которую никто себе не позволяет.

К вечеру Venus получили необходимое разрешение.

Далее последовало исполнение самого противоречивого мероприятия по ликвидации в истории DeFi — операции, требующей обхода правил смарт-контрактов для силового захвата залога хакеров.

Жертда оказалась в критической ситуации из-за ошибочной подписи транзакции, а Venus вот-вот подпишет “смертный приговор демократии”.

Что происходит, когда “код есть закон” сталкивается с чрезвычайными полномочиями?

Операция по восстановлению

В 21:36 по UTC. Спустя двенадцать часов после кражи Venus приступили к выполнению своего ответного удара.

Помните об ошибке, совершённой хакером из-за алчности? Использование украденных средств в качестве залога скоро станет самой дорогостоящей ошибкой в истории.

Одна транзакция, множество инструкций, максимальный скандал.

Ликвидация: запущена. Арест активов: завершен. Ликвидация: закрыта.

Venus только что провели хирургическую операцию на активной блокчейн-сети. Аварийный выключатель активирован, все незаблокированные активы изъяты, следы уничтожены.

“Шедевр” хакера в итоге обернулся собственным смертным приговором. А те самые похищенные активы теперь спокойно покоятся в пулах Venus?

Вдруг новообретенная властью протокола “экстренная ликвидация” стала играшкой в честные правила.

Алчность — яд. Украсть миллионы, положить их в залог и быть ликвидированным за счет собственных похищенных средств.

В 21:58 по UTC.Свет включился. Средства возвращены. Кризис исчерпан.

Но разговоры об убытке в 13 миллионов долларов сменились обсуждением того, как именно Venus за эти 12 часов доказали, что “децентрализация” — лишь маркетинговый лозунг.

Выяснилось, что у вашего непоколебимого DeFi-протокола есть очень поддающийся действию аварийный тормоз — и при достаточно высокой цене они не колеблясь задействуют его.

Когда революции нужен король для поддержания стабильности, кого же фактически свержают?

Голос жертды

“Нас могут считать глупцами, но хранить молчание гораздо опаснее, чем открыто говорить и рассеивать все сомнения.”

Так звучит описание профиля Kuan Sun (Квань Сун) в Twitter — основателя Eureka Crypto и жертды этой кражи на 13 миллионов долларов.

Говоря о своей “глупости”, он опубликовал подробный разбор произошедшего, объяснив, как именно ему удалось попасться на удочку мошенников.

Venus Protocol также подтвердила, что именно он стал целью фишинговой атаки.

Этот вид социальной инженерии отличается особой жестокостью.

Злоумышленники готовились еще с апреля этого года, внедрившись в контакт “BD Stack Asia”, с которым знакомый установил связь на конференции в Гонконге.

Несколько месяцев планомерной работы, постепенное построение доверия через знакомые, но не слишком тесные отношения. Вредоносный клиент Zoom уже предоставлял хакерам удаленный доступ к его устройству.

Во время фиктивной конференции: “Ваш микрофон не работает, пожалуйста обновите программу.” Это еще один многоуровневый обман, отвлекающий внимание и прикрывающий действия злоумышленника в фоне.

Затем неожиданно упал браузер Chrome. “Восстановить вкладку?” Клик.

Каким-то образом его доверенный расширение кошелька Rabby было заменено на подделку, полностью удалив все предупреждения безопасности.

Вывод средств через Venus, как он обычно делал это тысячи раз.

Но в этот раз никаких предупреждений о рисках, никаких симуляций транзакций, никаких проверок безопасности. Скомпрометированный фронтенд маскировал операцию утверждения под обычный перевод.

Аппаратный кошелек не имеет значения. Функции безопасности Rabby тоже. Когда фронтенд отравлен, даже самые надежные настройки защиты дают лишь иллюзию безопасности.

Хуже того, по воспоминаниям жертды, за этой атакой якобы стоит группа Lazarus Group, элитное хакерское подразделение Северной Кореи, которое на протяжении многих лет ведет деструктивную деятельность в криптосфере.

В этот раз он столкнулся не с любительским фишингом, а с точным ударом со стороны специалистов государственных кибератак, которые, вероятно, довели эту методику до совершенства.

Теперь он выражает благодарность Venus Protocol, PeckShield, SlowMist, Chaos Labs, Hexagate, HyperactiveLabs, Binance и всем остальным, кто помог ей вернуть потерянные средства.

Это счастливая развязка, возможная благодаря протоколу, готовому нарушить собственные правила, когда речь идет о личных интересах.

Когда самые искусные хакеры мира способны обмануть аппаратные кошельки и пользователей, забочщихся о безопасности, чувствует ли себя кто-то по-настоящему защищенным в DeFi?

Venus одной транзакцией спасли кита и разрушили мечту о децентрализации.

Двенадцать часов координационного хаоса доказывают, что за каждым якобы “децентрализованным” протоколом скрывается централизованный “аварийный переключатель”, прикрытый механизмами управления.

Конечно, сообщество проголосовало. Но когда 100% консенсуса достигается быстрее, чем заканчиваются дебаты в Discord о комиссиях за газ, вы становитесь свидетелем величайшего фокуса демократии: превращения авторитаризма в коллективное решение.

Хакер ушел ни с чем, кит вернул свои активы, а Venus продемонстрировала, что перед лицом колоссального цифрового давления готова в любой момент пересмотреть собственный код.

Миссия выполнена, репутация разрушена.

Настоящая трагедия заключается не в том, что кто-то попался на фишинговую схему в Zoom, а в том, что мы продолжаем делать вид, будто протоколы с аварийными полномочиями принципиально отличаются от тех традиционных финансовых систем, замену которым они провозглашают.

Если децентрализация умирает при первых неудобствах, существовала ли она вообще?