Sumber asal: Beosin
Pada 24 Mei, protokol mata wang stabil StablR diserang, menyebabkan mata wang stabil euro komplian EURR dan mata wang stabil dolar USDR yang dikeluarkannya kehilangan pegangan erat akibat pencetakan tidak sah dalam jumlah besar, dengan penurunan sebanyak 20% dan kerugian sebenar melebihi $3 juta. Serangan ini berpunca daripada kegagalan pengurusan kuasa tanda tangan berganda, sekali lagi menjadi pengingat keselamatan dan tata kelola bagi seluruh sektor mata wang stabil.
Analisis proses serangan
StablR ialah penerbit stablecoin yang beribu pejabat di Malta, sebelum ini Tether mengumumkan pelaburan strategik ke atas StablR dan menyediakan alat penerbitan stablecoin serta alat pengurusan risiko melalui platform tokenisasi Hadron mereka. Kini, StablR telah melancarkan dua produk stablecoin yang dipatuhi: EURR dan USDR,
Dengan menganalisis data rantai, kita dapat melihat:
Dompet multi-signature yang mengawal penciptaan EURR ialah 0x8278D2881dBF8F6Fc01c98d196c4b16F1aade5Bc
Dompet multi-signature yang mengawal penciptaan USDR ialah
0xF45392bd2D6e6b8C5Dc26BA6c8a12889419B82F3
Kerana transaksi yang diinisiasi oleh dompet multi-signature di atas hanya memerlukan satu tanda tangan, penyerang mengendalikan alamat owner 0xC73fD562de86d7860EE636C20813Bcb2cF4D550d dan menambahkan alamat penyerang 0xD4677B5A8B1b97EA213Fdb876b0FcBAB3f9F6CD1 ke dalam dua dompet multi-signature di atas:
Hash transaksi berkaitan:
(1) 0x41c2504e208a3f260b2564393938b6e68f7348f5fcb8df00cde41f800f073c8a
(2) 0x5b5825ca36f4cdad02b1c777df63115e63010de77de71dba0ac60160c18100de
Melalui proses di atas, kita dapat melihat bahawa insiden ini bukan berpunca daripada kelemahan kod, tetapi masalah keselamatan pengurusan penerbit stablecoin: tidak menyimpan kunci peribadi alamat istimewa dengan selamat, tidak menggunakan tanda tangan multi-sig dengan ambang tinggi untuk operasi bernilai tinggi/berisiko tinggi, tidak menerapkan time lock untuk operasi pencetakan jumlah besar, dan kurangnya mekanisme respons kecemasan yang pantas.
Selepas mendapat kebenaran pencetakan alamat penyerang 0xD4677B5A8B1b97EA213Fdb876b0FcBAB3f9F6CD1, penyerang mula mencetak dalam jumlah besar dan menghantar stabelcoin yang dicetak ke beberapa alamat:
Menurut Beosin, sebanyak 8.35M USDR dan 4.5M EURR telah dicetak, pautan carian penciptaan berkaitan: https://etherscan.io/advanced-filter?fadd=0x0000000000000000000000000000000000000000&tadd=0x0000000000000000000000000000000000000000&tkn=0x7b43e3875440b44613dc3bc08e7763e6da63c8f8%2c0x50753cfaf86c094925bf976f218d043f8791e408&ps=50
Analisis arus dana yang dicuri
Kerugian sebenar yang disebabkan oleh insiden ini melebihi $3 juta. Selepas pencetakan, alamat penerima utama ialah:
1、0xD4677B5A8B1b97EA213Fdb876b0FcBAB3f9F6CD1
(Alamat ini menerima sebanyak 1,000,000 EURR)
2、0xBb64302c6F039D4aa800CAc93E6E54856958675D
(Alamat ini menerima sejumlah 4.000.535,33 EURR dan 4.610.173,19 USDR; simpanan semasa: 324.163,04 USDR dan 1.204.098,63 EURR)
3、0xeA480c23D7B29a515856AafE0dc86F7519965a04
(Alamat ini menerima 412.67 ETH, 2,575,966.87 USDR, 650,000 EURR)
4、0x5D2184d84b82B67c1818Bbec8ce81E7Df14F6bAb
(Alamat ini menerima 235.92 ETH, 700,000 EURR, 200,000 USDR)
5、0x41E63c5d2AE95802868D9ef3686cC974aDA96d0d
(Alamat ini menerima 225.54 ETH, 4,000,000 USDR, 1,000,000 EURR)
6、0x873Ef45d10b29EB251b1Eb5Fe057C325f092a80a
(Alamat ini menerima 2,000,000 USDR secara keseluruhan; jumlah terkumpul semasa: 1,969,000 USDR)
7、0x8c1957765721e2540c03A0D64435a469a7266c51
(Alamat ini menerima sejumlah 1,400,000 USDR dan 1,400,000 EURR; simpanan semasa: 900,000 EURR dan 900,000 USDR)
8、0x865eC0587CdF305877783C080d97DEdD4f60398f
(Alamat ini menerima 504,000 USDR secara keseluruhan)
Melalui analisis Beosin Trace, sebahagian EURR dan USDR yang dicetak secara tidak sah telah dipindahkan ke pelbagai bursa seperti ChangeNOW, Kraken, Huobi, WhiteBIT melalui kaedah pengagihan dana, dengan sejumlah kecil dana memasuki mixer Tornado Cash.
Beosin Trace dapat menembus pertukaran campuran seperti Tornado Cash dan ChangeNOW, Fixedflow, dan hasil penembusan berkaitan ditunjukkan seperti berikut:
Selain dana yang ditransfer ke pertukaran terpusat, keadaan pengendapan dana di rantai adalah seperti berikut:
1. 0x09be1a36c2d7f9909eb3d6f9184c6e46a12b0aca
Jumlah endapan: 1,488.08 ETH
2. 0x464545b1f001ec64f93a31a8e678bfbd3146ef3f
Jumlah yang didepositkan: 510,673.98 USDR, 44,000 EURR
3. 0x9c25a3634fa04a8bac72e233c74469d5e15c5926
Jumlah pengekalan: 85.21 ETH, 15,263.22 USDT, 101,241.95 EURR
4. 0x2e74a82f6dbdfbe8fe54bd081e215c0c368c7762
Jumlah endapan: 8.91 ETH, 26,816.98 USDT, 250,570.03 EURR
5. 0xde7adbb368c2616df8c5c0e986933bee8f660add
Jumlah yang didepositkan: 13.65 ETH, 165,162.05 USDT, 38,696.42 USDR, 258,117.67 EURR
6. 0x0bc0b7b24876ac97610346ea0194735ccc271edd
Jumlah penempatan: 100 ETH
7. 0xb8d90cffe9fdb398afec7046490d1efdb28a6386
Jumlah penempatan: 100,000 USDR
8. 0x7ec05d1d6b0cbf4e74bd5907d01aeeb4343c6376
Jumlah endapan: 15 ETH
Arus dana keseluruhan ditunjukkan seperti di bawah:
Grafik analisis aliran dana yang dicuri oleh Beosin Trace
Kejadian keselamatan ini membuktikan bahawa audit kod tidak dapat menyelesaikan kelemahan operasi/pentadbiran; penerbit koin stabil dan agensi pengawas sepatutnya mempertimbangkan pemantauan aktif terhadap peredaran dan operasi koin stabil di pasaran sekunder berdasarkan risiko. Menanggapi titik kesukaran industri ini, Beosin melancarkan Sistem Pemantauan Koin Stabil (Stablecoin Monitoring) yang merangkumi keseluruhan kitaran hidup koin stabil: sistem ini menyokong pemantauan berterusan terhadap indikator operasi utama seperti jumlah penerbitan koin stabil, tindakan penciptaan dan pembakaran, taburan alamat pemegang, dan arus transaksi di rantai.
Semasa peringkat peredaran, Stablecoin Monitoring akan menggabungkan analisis fluktuasi harga dan status pelikatan untuk mengenal pasti risiko pelikatan terlepas yang disebabkan oleh manipulasi pasaran atau krisis likuiditi, bagi menghadapi skenario serangan seperti pencurian kunci peribadi dan pencetakan massal koin stabil secara jahat seperti dalam kes StablR; serta mempunyai kemampuan melacak aktiviti lintas rantai, membolehkan pelacakan aliran dana merentasi blokchain yang berbeza. Bagi koin stabil palsu yang diterbitkan di atas rantai, sistem ini menyediakan pemantauan serta amaran secara masa nyata, memudahkan pengguna mengenal pasti risiko penipuan yang berkaitan.