Drošības vienības, kuru vadīja ētiski hakeri, kas specializējas drošības auditos, apgalvoja, ka DxSale Network, decentralizēta marķiera palaišanas platforma, piedāvāja 500 USD atlīdzību pēc tam, kad platforma bija informēta par pārkāpumu, kas varētu izmaksāt vairāk nekā 5 miljonus USD.
Atlīdzība ir viena no zemākajām, kas jebkad piedāvāta balto cepuru hakeram.
$500 atlīdzība par $5 miljonu ietaupīšanu
Nesenā emuāra ierakstā Decurity atklāja, ka viens no tā pētniekiem 2023. gada 28. jūnijā atklāja kļūdu nepārbaudītā viedajā līgumā Binance viedajā ķēdē (BSC), kas pieder DxSale, un viņam tika piedāvāta atlīdzība 500 ASV dolāru apmērā par viņu pūlēm.
Pēc firmas domām, izmeklēšana atklāja līguma loģiku, kas nebija pietiekami droša, lai neļautu hakeriem iztērēt līgumā bloķētos līdzekļus sākotnējā decentralizētā piedāvājuma (IDO) laikā.
Pamatojoties uz aprēķiniem, kopumā 21 600 WBNB (iesaiņota BNB) marķieri ziņojuma sniegšanas brīdī varētu būt nozagti fondos aptuveni 5,2 miljonu ASV dolāru vērtībā, ja hakeri būtu pamanījuši ievainojamību. Tikmēr apsardzes firma paziņoja:
“Ņemiet vērā, ka šis skaitlis atspoguļo zaudējumus, ko varētu nodarīt ļaunprātīga izmantošana, kas vērsta uz vienu bloķēšanas līguma gadījumu. Tomēr Dx ir vairāk bloķēšanas līgumu BSC un citās ķēdēs.
Iespējamā slikta atbilde no DxSale
Decurity apgalvoja, ka sazinājās ar DxSale pēc kļūdas apstiprināšanas, taču teica, ka vispirms saskārās ar berzi no projekta komandas, kas sākotnēji nereaģēja, un vēlāk apgalvoja, ka ir informēta par problēmu. Saskaņā ar emuāra ierakstu komanda norādīja, ka attiecīgais līgums bija neaktīvs, kas nozīmēja, ka tas nav drauds.
Neskatoties uz sākotnējo atbildi no DxSale, Decurity paziņoja, ka tai izdevās sazināties ar DxSale dibinātājiem un izstrādātājiem, lai apspriestu situāciju.
Lai novērstu kļūdu, projekta izstrādātāji 29. jūnijā nolēma noteikt augstas bloķēšanas maksas kā problēmas risinājumu, lai atturētu uzbrucējus no kādas darbības. Saskaņā ar Decurity teikto, risinājums varētu atturēt hakerus, bet DxSale īpašnieki varētu iztukšot līdzekļus iespējamās paklāja vilkšanas gadījumā.
Lai gan Dx komanda mēģināja atspēkot apgalvojumus par hakeru iespējām iztukšot līdzekļus, atsaucoties uz aizsardzību no vairākiem audita partneriem, tostarp CertiK Skynet, projekts tika ziņots, ka pārcēlās uz augstas nodevas citās ķēdēs.
Tikmēr Decurity pauda bažas par DxSale reakciju uz iespējamiem drošības apdraudējumiem, iesakot lietotājiem būt uzmanīgiem, mijiedarbojoties ar protokola projektiem.
Lai gan DxSale nav atbildējis uz Decurity apgalvojumiem, decentralizētā palaišanas platforma 18. jūlijā paziņoja par sadarbību ar drošības aprīkojumu Vital Block Security.
Ieraksts Drošības firma piedāvāja 500 $, lai novērstu iespējamu 5 miljonu dolāru uzlaušanu, pirmo reizi parādījās vietnē CryptoPotato.