Ethereum L2 Abstract Chain bada problem wypływu środków z portfeli po tym, jak użytkownicy zgłosili brak środków

Kilku użytkowników Abstract Chain zgłosiło, że ich środki zostały wykradzione, podczas gdy deweloperzy twierdzą, że problem wynika z konkretnej aplikacji w sieci.

18 lutego wielu użytkowników portfeli Abstract Global Wallet zgłosiło nieoczekiwane wypłaty środków, co wzbudziło obawy dotyczące potencjalnego naruszenia bezpieczeństwa.

Środki w wykorzystanych portfelach zostały całkowicie wyczyszczone, a użytkownicy zaczęli szukać odpowiedzi.

Co się stało?

Początkowo sądzono, że jest to zewnętrzna próba wykorzystania inteligentnych kontraktów sieci, jednak obawy szybko zwróciły się ku jednej konkretnej aplikacji.

Kilka godzin po pojawieniu się pierwszych raportów twórca Abstract Chain, 0xBeans, zapewnił użytkowników, że problem nie dotyczy całej sieci Abstract Global Wallet, lecz wiąże się z Cardex, tokenizowaną grą karcianą opartą na ekosystemie Abstract.

„Jesteśmy świadomi, że niektórzy użytkownicy Abstract zostali naruszeni” – napisali na X, wzywając użytkowników do unikania interakcji z Cardex, dopóki zespół nie przeprowadzi dochodzenia.

W kolejnym wpisie 0xBeans wyjaśnił, że główną przyczyną było niewłaściwe obchodzenie się z kluczem prywatnym przez Cardex, co mogło narazić użytkowników na atak.

„Jeśli kiedykolwiek korzystałeś z tej aplikacji, odwołaj swoje sesje” – ostrzegają, wzywając użytkowników do korzystania z narzędzia zabezpieczającego web3 Revoke Cash, które umożliwia użytkownikom zarządzanie i odwoływanie zatwierdzeń tokenów w ich portfele do kryptowalut.

Chociaż całkowita skala strat nie została jeszcze ustalona, 0xBeans zapowiedziało opublikowanie „szerszej analizy” incydentu w nadchodzącej aktualizacji.

Jednakże jeden z członków społeczności, powołując się na dane Dune Analytics, oszacował straty na ponad 180 ETH, co przy obecnych cenach stanowi kwotę nieco ponad 482 000 USD.

Firma zajmująca się bezpieczeństwem w łańcuchu bloków Quill Audits przeanalizowała atak i wyjaśniła, że hakerzy wdrożyli złośliwy kontrakt, który pozwolił im wyprowadzić środki z naruszonych portfeli, zanim zaczęli je pranie.

Skradzione aktywa najpierw przechodziły przez adres rozruchowy, a następnie trafiały do kontraktu napastnika.

Stamtąd środki były dystrybuowane do wielu portfeli, co jest powszechną taktyką stosowaną w celu zatarcia śladów i utrudnienia śledzenia środków.

Wśród zidentyfikowanych portfeli, w momencie sporządzania raportu przez Quill Audits, co najmniej trzy portfele atakującego zawierały skradzioną kwotę ETH wynoszącą około 30 000 dolarów.

Tymczasem użytkownicy rzekomo złośliwej dApp zalewają X frustracją i oskarżeniami, nazywając Cardex oszustwem i domagając się odpowiedzi.

W momencie publikacji niniejszego artykułu zespół Cardex nie wydał jeszcze oświadczenia w sprawie zarzutów. Wydarzenie to miało miejsce zaledwie kilka dni po uruchomieniu dApp 12 lutego.

Czym jest łańcuch abstrakcyjny?

Abstract Chain, uruchomiona w zeszłym miesiącu, to sieć Ethereum Layer-2 opracowana przez Igloo Inc., firmę odpowiedzialną za popularną kolekcję NFT zwaną Pudgy Penguins.

Wykorzystuje ZK Stack firmy zkSync, aby oferować różne skalowalne i opłacalne rozwiązania on-chain.

Problem z opróżnianiem portfeli pojawił się zaledwie dzień po tym, jak Abstract osiągnął ważny kamień milowy, wdrażając ponad 1 milion portfeli AGW.

AGW umożliwia użytkownikom tworzenie portfeli opartych na inteligentnych kontraktach przy użyciu znanych loginów, takich jak e-mail czy konta społecznościowe, dzięki czemu użytkownicy niezaznajomieni z kryptowalutami mogą łatwiej skonfigurować portfel on-chain.