Maestro, eines der größten Telegram-Bot-Projekte im Ökosystem, war heute mit einer schwerwiegenden Sicherheitsverletzung konfrontiert.
Das Projekt wurde Opfer einer kritischen Sicherheitslücke im Router2-Vertrag, die zur unbefugten Übertragung von mehr als 280 ETH (500.000 US-Dollar) vom Konto eines Benutzers führte. Maestro hat dieses Problem behoben, obwohl der Zugriff auf Token in Liquiditätspools auf bestimmten DEXs vorübergehend nicht möglich sein wird.
Der Vertrag, der die Logik des Token-Austauschs verwalten sollte, enthielt eine Schwachstelle, die es Angreifern ermöglichte, willkürliche Aufrufe zu tätigen, was zu einer unbefugten Übertragung von Vermögenswerten führte. Nach Angaben des Sicherheitsunternehmens PeckShield wurden die Gelder an die Cross-Chain-Austauschplattform Railgun übertragen, um ihre Herkunft zu verschleiern.
Der Kern des Problems liegt darin, dass der Router2-Vertrag über ein Proxy-Design verfügt, das Änderungen in der Vertragslogik ohne Änderung der Adresse ermöglicht, was normalerweise eine Funktion zur Erweiterbarkeit darstellt. Es ermöglicht jedoch auch willkürliche und nicht autorisierte Aufrufe, sodass Angreifer „transferFrom“-Vorgänge zwischen beliebigen genehmigten Adressen initiieren können.
Konkret kann ein Angreifer eine Token-Adresse in den Router2-Vertrag einfügen, die Funktion auf „transferFrom“ setzen und die Adresse des Opfers als Absender und die Adresse des Opfers als Empfänger angeben. Dies führt zu einer unbefugten Übertragung von Token vom Konto des Opfers auf das Konto des Angreifers.
Sofortige Reaktion: Maestro friert den Router-Betrieb ein
Ungefähr 30 Minuten nach der ersten Entdeckung des Verstoßes handelte Maestro schnell und ersetzte die Router2-Vertragslogik durch einen harmlosen Gegenvertrag, der praktisch alle Router-Operationen einfror und weitere unbefugte Übertragungen einschränkte.
Maestro bestätigte, dass die Sicherheitslücke behoben wurde. Allerdings sind die Token in den ETH-Pools SushiSwap, ShibaSwap und PancakeSwap vorübergehend nicht verfügbar, da das Unternehmen seine interne Überprüfung fortsetzt.
Das Team fügte hinzu, dass es betroffenen Benutzern eine Rückerstattung gewähren werde. „Wir werden die Community aktualisieren, sobald wir bereit sind, Rückerstattungen zu bearbeiten (hoffentlich noch heute)“, sagte er.
