Около 1,3 млн долларов — меньше чем за два часа опустошили 1404 кошелька.
Ранним утром 18 октября по пекинскому времени кто-то нацелился на старые кошельки со слаборандомизированными сид-фразами: мнемонические фразы, созданные на старых устройствах Apple, в Safari и устаревших приложениях, имели недостаточно сильный источник энтропии, поэтому их можно было заранее подобрать перебором. Используя эти предсказуемые сид-фразы, злоумышленники действовали с 7:42 до 9:26 18 октября по пекинскому времени — меньше двух часов — и вывели около 2,94 трлн QU на сумму примерно 1,3 млн долларов по тогдашнему курсу.
Самое драматичное началось во второй половине этой истории: валидаторы сети экстренно остановили блокчейн, и около 87% украденных монет заморозили в сети — переместить их стало невозможно. Оставшиеся примерно 13% отправили на биржи, но счета получателей тоже сразу заморозили. До сих пор злоумышленникам почти ничего не удалось обналичить. Сам протокол не взломали — проблема была в генерации сид-фраз кошельков. Команда уже выпустила исправление, а компенсации пострадавшим пока ждут голосования валидаторов.
Такова повседневная жизнь крипторынка: думаешь, что активы в собственном кошельке в безопасности, а на деле настоящим чёрным ходом оказывается недостаточно случайная сид-фраза, созданная на старом устройстве. Что думаете о ситуации «блокчейн цел, кошелёк подвёл»? Обсудим в комментариях.
Ранним утром 18 октября по пекинскому времени кто-то нацелился на старые кошельки со слаборандомизированными сид-фразами: мнемонические фразы, созданные на старых устройствах Apple, в Safari и устаревших приложениях, имели недостаточно сильный источник энтропии, поэтому их можно было заранее подобрать перебором. Используя эти предсказуемые сид-фразы, злоумышленники действовали с 7:42 до 9:26 18 октября по пекинскому времени — меньше двух часов — и вывели около 2,94 трлн QU на сумму примерно 1,3 млн долларов по тогдашнему курсу.
Самое драматичное началось во второй половине этой истории: валидаторы сети экстренно остановили блокчейн, и около 87% украденных монет заморозили в сети — переместить их стало невозможно. Оставшиеся примерно 13% отправили на биржи, но счета получателей тоже сразу заморозили. До сих пор злоумышленникам почти ничего не удалось обналичить. Сам протокол не взломали — проблема была в генерации сид-фраз кошельков. Команда уже выпустила исправление, а компенсации пострадавшим пока ждут голосования валидаторов.
Такова повседневная жизнь крипторынка: думаешь, что активы в собственном кошельке в безопасности, а на деле настоящим чёрным ходом оказывается недостаточно случайная сид-фраза, созданная на старом устройстве. Что думаете о ситуации «блокчейн цел, кошелёк подвёл»? Обсудим в комментариях.