Проект DeFi WLFI сообщил, что использовал механизм черного списка на цепочке для успешной блокировки попыток атак на скомпрометированных пользователей.

Проект децентрализованных финансов (DeFi) World Liberty Financial (WLFI) сообщил, что успешно предотвратил множество попыток атак во время запуска токена благодаря применению активного механизма безопасности: добавлению непосредственно скомпрометированных кошельков в черный список на цепочке.

В сообщении от 3/9 команда разработчиков подтвердила, что атаки не исходят из уязвимости смарт-контракта, а происходят из-за утечки закрытых ключей пользователей. Согласно WLFI, один назначенный кошелек проводил транзакции "массового занесения в черный список" с целью деактивации скомпрометированных аккаунтов прямо перед официальным запуском, тем самым успешно защитив Lockbox — механизм вестинга, разработанный для обеспечения безопасности заблокированных распределений токенов.

Проект также сотрудничает с пострадавшими пользователями, чтобы помочь восстановить доступ к активам, демонстрируя сбалансированный подход между централизованной безопасностью и децентрализацией в поддержке сообщества.

Событие запуска WLFI разблокировало 24,6 миллиарда токенов, став привлекательной целью для злоумышленников. Кроме прямых атак, аналитическая компания Bubblemaps также обнаружила множество сложных схем мошенничества, среди которых выделяются "собранные клоны" — поддельные смарт-контракты, имитирующие настоящий проект для кражи активов.

Ю Сян, основатель компании безопасности SlowMist, также предупреждает, что некоторые пользователи были лишены токенов из-за фишинговых атак, эксплуатирующих Ethereum Improvement Proposal (EIP)-7702. Это обновление является частью дорожной карты Pectra Ethereum и позволяет обычным кошелькам (EOA) временно функционировать как смарт-контракты для улучшения пользовательского опыта. Однако эта функция также создает новые векторы атак.

По словам эксперта по аудиту смарт-контрактов Арды Усмана, злоумышленник может обманом заставить жертву подписать безобидное сообщение вне цепочки, а затем использовать эту подпись для активации транзакции в цепочке, тем самым завладев активами в кошельке.