Nenápadné ohrozenie tisícok Tron peňaženiek
Bezpečnostná firma AMLBot odhalila menej známy exploit, ktorý ohrozil viac ako 14 545 kryptopeňaženiek Tron. Tento exploit, označený ako tichý únos, výrazne vystavuje digitálne aktíva riziku krádeže.
Počas štvrtého štvrťroka 2024 sa ukázalo, že 2 130 peňaženiek bolo zasiahnutých zraniteľným bodom spojeným s transakciou UpdateAccountPermission, spolu držiace takmer 31,5 milióna dolárov v čase zverejnenia.
Ako funguje tichý únos
Na rozdiel od typických hackerských útokov, ktoré okamžite odčerpávajú finančné prostriedky, tento exploit umožnuje útočníkom:
- Prevziať kontrolu nad peňaženkami: Pridávajú vlastné kľúče k účtom bez vedomia majiteľa.
- Blokovať odchádzajúce transakcie: Legitímni vlastníci strácajú schopnosť nezávisle vykonávať transakcie.
- Neodhaliteľné narušenie: Majitelia si možno nevšimnú kompromitáciu, pokračujú vo vkladoch a nepriamo podporujú hackerov.
Ako uviedol Mykhailo Tiutin, technologický riaditeľ AMLBot:
„Peňaženky nemajú žiadne upozornenia ani informácie o pridávaní nových kľúčov. Väčšina obetí nevie o probléme, pokiaľ sa nepokúsia vykonať odchádzajúcu transakciu.“
Znežitie UpdateAccountPermission
Transakcia UpdateAccountPermission bola navrhnutá na zlepšenie bezpečnosti účtov prostredníctvom multisig funkcií. Však, v rúkach útočníkov, sa tento nástroj môže stať nebezpečnou zbraňou.
- Cieľ: Získať prístup k súkromnému kľúču majiteľa.
- Postup: Útočník pridá vlastný kľúč a nakonfiguruje ho tak, aby splňal prahovú hodnotu transakcie.
- Následok: Legitímni vlastníci nemôžu vykonávať transakcie nezávisle, čo účinne blokuje prístup k ich aktívam.
Reakcia obetí a odborníkov
Jedna z obetí, ktorá požiadala o anonymitu, uviedla, že pred objavením problému vložila do kompromitovanej peňaženky 1 000 USDT:
„Ak by mi zlodej okamžite vzal všetky peniaze, vedel by som, že je peňaženka preč. Takto som nevedomky pridával ďalšie prostriedky.“
Podľa Sattvika Kansala, spoluzakladateľa Rome Protocol:
„Po narušení nie je možné získať prostriedky späť. Súkromný kľúč útočníka je potrebný na akékoľvek transakcie.“
Širší kontext: Exploity naprieč blockchainmi
Podobné zneužitia nie sú obmedzené len na Tron. Na blockchainoch ako Ethereum sa často zneužívajú funkcie „schváliť“ a „povoliť“ na interakciu s DeFi platformami. Phishingové podvody v novembri 2024 spôsobili straty vo výške 9,38 milióna dolárov, z toho 7 miliónov dolárov pochádzalo z Etherea.
Prevencia tichých únosov
1. Chraňte súkromné kľúče:
- Ukladajte ich offline a nikdy ich nezdieľajte s nedôveryhodnými stranami.
2. Pravidelné kontroly povolení:
- Pochopte a pravidelne kontrolujte systém povolení peňaženiek Tron.
3. Minimalizujte riziko:
- Držte minimálne rezervy TRX, aby útočníci nemohli využiť funkciu UpdateAccountPermission.
4. Používajte bezpečnejšie peňaženky:
- Vyberte peňaženky, ktoré upozorňujú na podozrivé transakcie.
Záver
Tiché únosy Tron peňaženiek zdôrazňujú nevyhnutnosť dôkladnej prevádzkovej bezpečnosti a vzdelávania užívateľov. Kryptopriemysel musí posilniť bezpečnostné mechanizmy, aby zabránil podobným zneužitiam.
Príspevok Ako chrániť Tron peňaženky pred tichými únosmi je zobrazený ako prvý na Kryptoblog24.
