Die alte Version war nicht abgeschaltet – das ist, als wäre die Tür nie abgeschlossen gewesen. Bei On Nexus gingen diesmal 8,5 BTC verloren
Am 25. Oktober wurde die alte Plattform DotSwap V1 des Bitcoin-nativen Liquiditätsprotokolls On Nexus angegriffen, und am 27. Oktober veröffentlichte das Projekt eine Sicherheitsmitteilung. Der Angreifer nutzte einen serverseitigen Signaturmechanismus, der in V1 zurückgeblieben war, und zog innerhalb von etwa 4 Stunden rund 8,5 BTC aus dem V1-Liquiditätspool und zugehörigen Konten ab, was zum damaligen Kurs etwa 685.000 US-Dollar entsprach. Die Berichte von PANews, KuCoin News und Odaily stimmen in ihren Angaben überein; Betrag und Dauer passen zusammen.
V1 war eine alte Handelsplattform, die 2024 gestartet wurde; später stellte das Projekt auf die neue Architektur Nexus um, und V1 war ohnehin bereits für die Stilllegung vorgesehen. Das Problem war: Stilllegung war nur ein Plan, der Dienst lief weiter, und die Signaturberechtigung war noch aktiv. Der Angreifer erzeugte illegale Signaturdaten und umging die regulären Risikokontrollen der Plattform, um Gelder schrittweise aus dem Pool abzuziehen. Laut der von Odaily wiedergegebenen offiziellen Überwachung lief der Angriff über automatisierte Skripte: Zuerst wurden die Schnittstellen getestet, dann wurden die Abhebungen schrittweise durchgeführt; betroffen waren 99 Arten von Runes-Token. Das Team erwähnte außerdem, dass die Vorgehensweise diesem jüngsten Trend automatisierter Angriffe entspreche. Das ist jedoch eine Einschätzung des Teams, für die es bislang keine unabhängigen Belege gibt; ich halte das vorerst als deren eigene Einschätzung fest.
Wer verloren hat und wer nicht – dazu hat sich die offizielle Seite diesmal klar geäußert. Der Liquiditätspool von V1 nutzte ein verwahrtes Multisig-System; das Geld wurde zunächst in eine vom Plattform-Team kontrollierte Multisig-Tresorstruktur gebündelt. Daher waren alle Einlagen betroffen, die noch im V1-Pool lagen – betroffen waren also die Liquiditätsanbieter, die ihre Mittel nicht rechtzeitig abgezogen hatten. Die Self-Custody-Wallets normaler Nutzer waren nicht betroffen, weil die täglichen Transaktionen über Bitcoin-native Self-Custody-Transaktionen liefen und die privaten Schlüssel nie auf den Servern der Plattform gespeichert wurden. Derselbe Vorfall, zwei Arten von Wallets, völlig unterschiedliches Ergebnis – die Trennlinie ist, wem das Geld tatsächlich gehört bzw. in wessen Händen es liegt.
Nach dem Vorfall wurde V1 vollständig abgeschaltet, und auch die Netzwerkschnittstelle des alten Signaturdienstes wurde entfernt; die Handelskanäle der neuen Nexus-Architektur waren nicht betroffen. Das Team sagte, man arbeite gemeinsam mit SlowMist an der Nachverfolgung der Gelder und habe auch die mit dem Hacker verbundenen Adressen an große Handelsplattformen gemeldet. Die vollständige Analyse und der Maßnahmenplan seien noch in Arbeit; zum Zeitpunkt des Verfassens waren sie noch nicht veröffentlicht, also sollte man die Maßnahmen nicht so darstellen, als seien sie bereits fest beschlossen.
Für Privatanleger ist die Lehre daraus sehr konkret. Ein Projekt auf eine neue Version umzustellen bedeutet nicht, dass die alte Version automatisch sicher ist. Solange im alten Vertrag noch echtes Geld liegt und die alte Schnittstelle noch Signaturrechte besitzt, muss der Angreifer nicht das neue System knacken – er sucht sich einfach die älteste Tür. Noch problematischer ist, dass viele Leute gar nicht wissen, dass sie ihre Gelder noch nicht migriert haben. Wenn die Ankündigung erst kommt und man dann nachschaut, ist der Pool möglicherweise schon leer.
Meine Einschätzung ist ziemlich direkt. Wenn ihr in Zukunft hört, dass ein Projekt migriert wurde, prüft zuerst zwei Dinge: Erstens, ob es für die alte Version eine offizielle Abschaltungsankündigung gibt. Zweitens, ob ihr in der alten Version noch ein Guthaben habt. Wenn es keine Abschaltungsankündigung für die alte Version gibt, lasst das Guthaben dort nicht weiter liegen. Und wer bereits umgezogen ist, sollte nicht nur darauf schauen, wie reibungslos die neue Version läuft; solange die Abschaltungsankündigung für die alte Version nicht veröffentlicht ist, ist die Sache noch nicht endgültig erledigt.
Habt ihr jemals Gelder in einer alten Version eines Projekts liegen lassen, die ihr nicht migriert habt? Wann habt ihr zuletzt bestätigt, dass sie abgeschaltet wurde?
#BTC #比特币生态 #安全复盘 #DotSwap #DeFi安全
—— web3韭菜小凯
Der Inhalt ist lediglich eine Zusammenstellung öffentlicher Informationen und stellt keine Anlageberatung dar. Die genannten Beträge basieren auf der offiziellen Mitteilung von On Nexus sowie den öffentlichen Berichten von PANews, KuCoin News und Odaily; spätere Stellungnahmen des Projekts sind den offiziellen Kanälen zu entnehmen.
Am 25. Oktober wurde die alte Plattform DotSwap V1 des Bitcoin-nativen Liquiditätsprotokolls On Nexus angegriffen, und am 27. Oktober veröffentlichte das Projekt eine Sicherheitsmitteilung. Der Angreifer nutzte einen serverseitigen Signaturmechanismus, der in V1 zurückgeblieben war, und zog innerhalb von etwa 4 Stunden rund 8,5 BTC aus dem V1-Liquiditätspool und zugehörigen Konten ab, was zum damaligen Kurs etwa 685.000 US-Dollar entsprach. Die Berichte von PANews, KuCoin News und Odaily stimmen in ihren Angaben überein; Betrag und Dauer passen zusammen.
V1 war eine alte Handelsplattform, die 2024 gestartet wurde; später stellte das Projekt auf die neue Architektur Nexus um, und V1 war ohnehin bereits für die Stilllegung vorgesehen. Das Problem war: Stilllegung war nur ein Plan, der Dienst lief weiter, und die Signaturberechtigung war noch aktiv. Der Angreifer erzeugte illegale Signaturdaten und umging die regulären Risikokontrollen der Plattform, um Gelder schrittweise aus dem Pool abzuziehen. Laut der von Odaily wiedergegebenen offiziellen Überwachung lief der Angriff über automatisierte Skripte: Zuerst wurden die Schnittstellen getestet, dann wurden die Abhebungen schrittweise durchgeführt; betroffen waren 99 Arten von Runes-Token. Das Team erwähnte außerdem, dass die Vorgehensweise diesem jüngsten Trend automatisierter Angriffe entspreche. Das ist jedoch eine Einschätzung des Teams, für die es bislang keine unabhängigen Belege gibt; ich halte das vorerst als deren eigene Einschätzung fest.
Wer verloren hat und wer nicht – dazu hat sich die offizielle Seite diesmal klar geäußert. Der Liquiditätspool von V1 nutzte ein verwahrtes Multisig-System; das Geld wurde zunächst in eine vom Plattform-Team kontrollierte Multisig-Tresorstruktur gebündelt. Daher waren alle Einlagen betroffen, die noch im V1-Pool lagen – betroffen waren also die Liquiditätsanbieter, die ihre Mittel nicht rechtzeitig abgezogen hatten. Die Self-Custody-Wallets normaler Nutzer waren nicht betroffen, weil die täglichen Transaktionen über Bitcoin-native Self-Custody-Transaktionen liefen und die privaten Schlüssel nie auf den Servern der Plattform gespeichert wurden. Derselbe Vorfall, zwei Arten von Wallets, völlig unterschiedliches Ergebnis – die Trennlinie ist, wem das Geld tatsächlich gehört bzw. in wessen Händen es liegt.
Nach dem Vorfall wurde V1 vollständig abgeschaltet, und auch die Netzwerkschnittstelle des alten Signaturdienstes wurde entfernt; die Handelskanäle der neuen Nexus-Architektur waren nicht betroffen. Das Team sagte, man arbeite gemeinsam mit SlowMist an der Nachverfolgung der Gelder und habe auch die mit dem Hacker verbundenen Adressen an große Handelsplattformen gemeldet. Die vollständige Analyse und der Maßnahmenplan seien noch in Arbeit; zum Zeitpunkt des Verfassens waren sie noch nicht veröffentlicht, also sollte man die Maßnahmen nicht so darstellen, als seien sie bereits fest beschlossen.
Für Privatanleger ist die Lehre daraus sehr konkret. Ein Projekt auf eine neue Version umzustellen bedeutet nicht, dass die alte Version automatisch sicher ist. Solange im alten Vertrag noch echtes Geld liegt und die alte Schnittstelle noch Signaturrechte besitzt, muss der Angreifer nicht das neue System knacken – er sucht sich einfach die älteste Tür. Noch problematischer ist, dass viele Leute gar nicht wissen, dass sie ihre Gelder noch nicht migriert haben. Wenn die Ankündigung erst kommt und man dann nachschaut, ist der Pool möglicherweise schon leer.
Meine Einschätzung ist ziemlich direkt. Wenn ihr in Zukunft hört, dass ein Projekt migriert wurde, prüft zuerst zwei Dinge: Erstens, ob es für die alte Version eine offizielle Abschaltungsankündigung gibt. Zweitens, ob ihr in der alten Version noch ein Guthaben habt. Wenn es keine Abschaltungsankündigung für die alte Version gibt, lasst das Guthaben dort nicht weiter liegen. Und wer bereits umgezogen ist, sollte nicht nur darauf schauen, wie reibungslos die neue Version läuft; solange die Abschaltungsankündigung für die alte Version nicht veröffentlicht ist, ist die Sache noch nicht endgültig erledigt.
Habt ihr jemals Gelder in einer alten Version eines Projekts liegen lassen, die ihr nicht migriert habt? Wann habt ihr zuletzt bestätigt, dass sie abgeschaltet wurde?
#BTC #比特币生态 #安全复盘 #DotSwap #DeFi安全
—— web3韭菜小凯
Der Inhalt ist lediglich eine Zusammenstellung öffentlicher Informationen und stellt keine Anlageberatung dar. Die genannten Beträge basieren auf der offiziellen Mitteilung von On Nexus sowie den öffentlichen Berichten von PANews, KuCoin News und Odaily; spätere Stellungnahmen des Projekts sind den offiziellen Kanälen zu entnehmen.
