Nhóm bảo mật Cobo: Phân tích sự cố đánh cắp tiền xu WazirX

Nhóm bảo mật Cobo đã tiến hành phân tích chi tiết về cuộc tấn công gần đây vào sàn giao dịch tiền điện tử WazirX của Ấn Độ và chia sẻ cách Cobo hoạt động về cơ chế kiểm soát rủi ro, hệ thống bảo mật, v.v. Giúp khách hàng phòng vệ trước các cuộc tấn công mạng.

1 Tổng quan về sự kiện

Ngày 2024 Ngày 18 tháng 7, hơn 230 triệu USD đã bị đánh cắp từ ví đa chữ ký của sàn giao dịch tiền điện tử Ấn Độ WazirX. Ví đa chữ ký này là ví hợp đồng thông minh Safe{Wallet}. Kẻ tấn công đã xúi giục những người ký nhiều chữ ký ký giao dịch nâng cấp hợp đồng. Kẻ tấn công trực tiếp chuyển tài sản trong ví thông qua hợp đồng được nâng cấp, và cuối cùng chuyển toàn bộ tài sản trị giá hơn 230 triệu đô la Mỹ.

2 Phân tích quá trình tấn công

Lưu ý: Phân tích sau dựa trên các báo cáo sau sự kiện của WazirX và Liminal, dữ liệu trên chuỗi và thông tin công khai trên Internet có thể chứa thông tin không đầy đủ hoặc sai sót, có thể dẫn đến kết luận phân tích sai lệch. Kết quả phân tích chỉ mang tính tham khảo và sẽ tùy thuộc vào kết quả điều tra tiếp theo của nhà sản xuất liên quan.

Liên kết gốc:

• Blog WazirX:https://wazirx.com/blog/wazirx-cyber-Attack-key-insights-and-learnings/

• Blog về quyền giám hộ hạn chế: https://www .liminalcustody.com/blog/update-on-wazirx-incident/

2.1 Đa- quá trình tấn công và cấu hình Ví chữ ký

Theo thông tin được cả hai bên tiết lộ, WazirX sử dụng Safe (trước đây là Gnosis Safe)  Liminal Thực hiện đồng quản lý. Ví Safe áp dụng phương thức chữ ký 4/6, trong đó 5 khóa riêng được các thành viên WazirX quản lý thông qua ví phần cứng và 1 khóa riêng được Liminal quản lý thông qua HSM.

Theo quy trình thông thường, WazirX bắt đầu chuyển giao dịch thông qua trang web của nền tảng Liminal và địa chỉ chuyển bị hạn chế bởi danh sách trắng địa chỉ được duy trì bởi nền tảng Liminal. Sau khi 3 trong số 5 người ký của WazirX xác nhận rằng giao dịch là chính xác, họ đã ký bằng ví phần cứng. Sau khi nền tảng Liminal thu thập được 3 chữ ký, nó sử dụng HSM để thêm chữ ký cuối cùng và đưa giao dịch vào chuỗi. Đánh giá từ giao dịch tấn công trên chuỗi, giao dịch tấn công có 3 chữ ký hợp pháp và chữ ký thứ tư là người khởi tạo giao dịch (tức là Liminal), phù hợp với cấu trúc quản lý ví được tiết lộ.

Dựa trên báo cáo từ cả Liminal và WazirX, quá trình bắt đầu giao dịch đa chữ ký độc hại này như sau:

1. Kẻ tấn công thực hiện các giao dịch chữ ký WazirX thông qua một số phương tiện không xác định (bao gồm nhưng không giới hạn ở các cuộc tấn công mạng 0 ngày, tấn công kỹ thuật xã hội, v.v. ).

2. Các thành viên WazirX 3 đã đăng nhập vào nền tảng Liminal thông qua dấu trang, v.v. và sau khi vượt qua xác minh của Google và xác minh MFA, họ đã xem chữ ký đang chờ xử lý Giao dịch này là chuyển khoản 2 GALA và 1 USDT và được ký bằng ví phần cứng. Nhưng những gì nạn nhân thực sự đã ký không phải là giao dịch chuyển mã thông báo mà là giao dịch nâng cấp hợp đồng cho ví đa chữ ký. Do sự không thống nhất giữa nội dung giao dịch thực tế và giao dịch chuyển khoản có chủ đích nên nền tảng Liminal lần lượt từ chối 3 giao dịch.

3. Tại thời điểm này, kẻ tấn công đã thu thập chữ ký của ba thành viên cho giao dịch nâng cấp hợp đồng và một lần nữa gửi hợp đồng độc hại nâng cấp giao dịch lên nền tảng Liminal Và đi kèm với 3 chữ ký chính xác.

4.  Sau khi nền tảng Liminal kiểm tra xem chữ ký có đúng không, nó sẽ bắt đầu giao dịch với tư cách là người ký thứ tư. được tải lên chuỗi, hợp đồng ví được nâng cấp, quyền kiểm soát được chuyển cho kẻ tấn công.

Theo mô tả của WazirX, người ký sử dụng ví phần cứng để giữ khóa riêng. Kẻ tấn công cũng thu thập chữ ký của ba người ký bằng cách giả mạo các giao dịch chuyển tiền. Do đó, có thể suy ra rằng ba người quản lý WazirX không bị rò rỉ khóa riêng của họ. Tương tự, không có rò rỉ khóa riêng trong Liminal, nếu không thì kẻ tấn công không cần thực hiện giao dịch cuối cùng thông qua nền tảng Liminal.

Mặt khác, theo mô tả của WazirX, người ký đã truy cập đúng nền tảng Liminal thông qua dấu trang và thực hiện xác minh Google và MFA. Nền tảng Liminal cũng ghi lại nhật ký của 3 giao dịch bất thường nên cũng có thể loại trừ khả năng WazirX đã đăng nhập vào một trang lừa đảo giả mạo của nền tảng Liminal để thu thập chữ ký. Ngoài ra, theo kết quả pháp y sơ bộ về thiết bị được WazirX tiết lộ, người ta cũng tin rằng thiết bị của ba người ký tên WazirX chưa bị tấn công.

Tóm lại, một phương thức tấn công có thể xảy ra là kẻ tấn công chiếm quyền điều khiển nạn nhân WazirX thông qua cuộc tấn công man-in-the-middle, tấn công XSS hoặc các hình thức tấn công zero-day khác các cuộc tấn công trang đầu của trình duyệt giả mạo nội dung giao dịch hợp pháp được hiển thị cho nạn nhân của WazirX. Sau khi kẻ tấn công thu thập chữ ký của ba nạn nhân WazirX, hắn đã gửi giao dịch tấn công nâng cấp hợp đồng cuối cùng lên nền tảng Liminal thông qua phiên hiện có và tải nó thành công lên chuỗi sau khi vượt qua kiểm soát rủi ro của nền tảng Liminal.

2.2 Các vấn đề bộc lộ do cuộc tấn công

Theo trên Theo phân tích, cả WazirX và Liminal đều bộc lộ một số vấn đề nhất định trong vụ việc.

Kiểm soát rủi ro nền tảng giới hạn không nghiêm ngặt:

• Có thể thấy từ giao dịch tấn công trên chuỗi cuối cùng, nền tảng Liminal đã ký giao dịch nâng cấp hợp đồng và tải nó lên chuỗi. Chiến lược kiểm soát rủi ro chuyển danh sách trắng của nền tảng đã không phát huy đúng vai trò của nó.

• Có thể thấy từ nhật ký được tiết lộ bởi nền tảng Liminal rằng nền tảng này đã phát hiện và từ chối ba giao dịch đáng ngờ, nhưng không Cảnh báo ngay lập tức cho người dùng hoặc đóng băng các giao dịch chuyển ví.

WazirX đã không kiểm tra kỹ nội dung chữ ký ví phần cứng:

• Nội dung hiển thị trong ví phần cứng là nội dung giao dịch thực tế sẽ được ký. Khi ký một giao dịch nhiều chữ ký, người ký WazirX đã tin cậy giao dịch được hiển thị trên trang Liminal và ký trực tiếp mà không kiểm tra cẩn thận xem nội dung được ký trong ví phần cứng có phù hợp với giao dịch được hiển thị trên trang Liminal hay không. của giao dịch nâng cấp hợp đồng mà kẻ tấn công yêu cầu.

3 Cobo giúp khách hàng chống lại các cuộc tấn công mạng như thế nào

3.1 Cơ chế kiểm soát rủi ro hoàn chỉnh

Cobo cung cấp nhiều cơ chế kiểm soát rủi ro nhằm giải quyết vấn đề lưu trữ, bảo mật những thách thức gặp phải trong việc quản lý và chuyển giao tài sản kỹ thuật số. Tùy thuộc vào loại ví, công cụ kiểm soát rủi ro Cobo cho phép khách hàng chạy các chương trình kiểm soát rủi ro độc lập hoặc hợp đồng kiểm soát rủi ro trên chuỗi. Ngay cả khi Cobo bị tấn công bảo mật, việc kiểm tra kiểm soát rủi ro ở phía khách hàng và trên chuỗi vẫn có thể đảm bảo an toàn cho tiền của người dùng.

Khách hàng có thể linh hoạt thiết lập kiểm soát rủi ro giao dịch trên chuỗi và ngoài chuỗi, kiểm soát rủi ro kinh doanh cũng như vai trò và quyền của người dùng nếu cần, cũng như định cấu hình cài đặt cần thiết cho các loại hình kinh doanh khác nhau. Các quy tắc về kiểm soát rủi ro và thẩm quyền:

1. Kiểm soát rủi ro giao dịch: Khách hàng Bạn có thể dễ dàng tạo và chỉnh sửa các biện pháp kiểm soát rủi ro giao dịch trên chuỗi và ngoài chuỗi, đồng thời tự động xử lý từng giao dịch bằng cách đặt các hành động phê duyệt, bao gồm tự động chuyển, tự động từ chối và phê duyệt của nhiều người.

2. Kiểm soát rủi ro kinh doanh: Khách hàng có thể xác định nhiều hoạt động quản lý nền tảng khác nhau (chẳng hạn như xóa thành viên nhóm hoặc đóng băng tài khoản nhóm) quy tắc phê duyệt.

3. Vai trò và quyền của người dùng: Khách hàng có thể chỉ định vai trò người dùng cụ thể cho các thành viên trong nhóm được chỉ định. Hiện tại, Cobo Portal cung cấp năm vai trò đặt trước - người quan sát, người rút tiền, người phê duyệt, người vận hành và quản trị viên. Khách hàng cũng có thể tạo các vai trò khác dựa trên nhu cầu kinh doanh của họ.

3.1.1 Kiểm soát rủi ro giao dịch

Khách hàng có thể dễ dàng thiết lập và chỉnh sửa ngoài chuỗi và Kiểm soát rủi ro giao dịch trên chuỗi.

• Kiểm soát rủi ro giao dịch ngoài chuỗi được quản lý bởi hệ thống phụ trợ của Cổng thông tin Cobo. Công cụ kiểm soát rủi ro của Cobo có thể tiến hành kiểm tra và kiểm soát chi tiết việc chuyển mã thông báo và lệnh gọi hợp đồng dựa trên các quy tắc do người dùng định cấu hình để đảm bảo rằng nội dung giao dịch đáp ứng các hạn chế của người dùng. Điều đáng nói là đối với ví MPC, chúng tôi hỗ trợ triển khai chương trình kiểm soát rủi ro tùy chỉnh (gọi là Callback) trên nút ký MPC-TSS. Chương trình kiểm soát rủi ro này độc lập với Cobo và được triển khai trên nút MPC-TSS của chính khách hàng. Việc kiểm soát rủi ro tại địa điểm này có thể cung cấp cho khách hàng tuyến bảo vệ cuối cùng trong trường hợp Cobo bị tấn công nghiêm trọng. Trong trường hợp này, nếu người ký WazirX là nút MPC-TSS có tính năng bảo vệ Gọi lại thì kẻ tấn công không thể thu thập chữ ký của các giao dịch không mong muốn.

• Kiểm soát rủi ro giao dịch trên chuỗi được quản lý thông qua các hợp đồng thông minh trên mạng blockchain . Chúng tôi hỗ trợ định cấu hình các quy tắc kiểm soát rủi ro trên ví hợp đồng thông minh thông qua khung Cobo Safe, bao gồm định cấu hình danh sách trắng chuyển giao trên chuỗi. Kẻ tấn công khó có thể làm hỏng cơ chế danh sách trắng trên chuỗi. Trong trường hợp này, nếu cơ chế danh sách trắng chuyển giao trên chuỗi Cobo Safe được sử dụng, kẻ tấn công sẽ không thể bắt đầu bất kỳ giao dịch nào ngoài danh sách trắng.

3.1.2 Kiểm soát rủi ro kinh doanh

Khách hàng có thể thiết lập các biện pháp kiểm soát rủi ro kinh doanh để xác định số lượng thành viên nhóm cần thiết để phê duyệt một số hoạt động nhất định (chẳng hạn như xóa thành viên nhóm, sửa đổi vai trò thành viên, đóng băng tài khoản nhóm). Tùy thuộc vào hành động, mặc định cần có sự chấp thuận của ít nhất 50% quản trị viên hoặc chỉ một trong số họ. Khách hàng cũng có thể chỉnh sửa thủ công các quy tắc và đặt ngưỡng tự động vượt qua, từ chối tự động hoặc phê duyệt.

Để tìm hiểu thêm về kiểm soát rủi ro kinh doanh, vui lòng xem phần giới thiệu về kiểm soát rủi ro kinh doanh: https://cobo-6.mintlify.app/cn /portal/tổ chức/quản trị-intro.

3.1.3 Vai trò và quyền của người dùng

Vai trò của người dùng Bao gồm một bộ quy tắc được xác định trước có thể được sử dụng để gán các quyền cụ thể cho các thành viên được chỉ định trong nhóm. Cobo cung cấp năm vai trò đặt trước và khách hàng có thể tạo các vai trò bổ sung dựa trên nhu cầu cụ thể.

Tìm hiểu thêm về vai trò và quyền của người dùng, xem Giới thiệu về vai trò và quyền của người dùng: https://cobo-6.mintlify.app /cn/ cổng thông tin/tổ chức/vai trò và quyền.

3.2 Cung cấp hỗ trợ kỹ thuật bảo mật cho khách hàng

Cobo cung cấp hỗ trợ dịch vụ khách hàng 7×24. Nếu gặp bất kỳ vấn đề bảo mật nào, khách hàng có thể phản hồi cho chúng tôi sớm nhất có thể. Chúng tôi sẽ hỗ trợ đầy đủ cho mọi khách hàng trong việc khắc phục các rủi ro bảo mật.

4 Hệ thống bảo mật Cobo

Để đáp lại đồng tiền này trộm cắp Có hai lý do có thể dẫn đến sự cố: lừa đảo và lỗ hổng hệ thống. Cobo có các biện pháp bảo vệ an ninh hoàn chỉnh ở nhiều khía cạnh như xây dựng mạng tổng thể của công ty, thiết bị đầu cuối của nhân viên và quy trình giao dịch để ứng phó với nhiều hình thức tấn công khác nhau và ngăn chặn các sự cố Bảo mật tương tự. xảy ra.

4.1 Công nghệ ví an toàn và đa dạng

Cobo Portal tích hợp bốn công nghệ ví vào một nền tảng duy nhất, cung cấp kiến ​​trúc bảo mật tiên tiến nhất, đồng thời có phạm vi bao phủ chuỗi và mã thông báo rộng nhất trong ngành (tham khảo Ví được quản lý hoàn toàn và Ví MPC để tìm hiểu về các mã thông báo và chuỗi được Cobo Portal hỗ trợ).

• Ví được quản lý hoàn toàn:https://manuals.cobo.com/cn /portal/supported-tokens-custodial

• Ví MPC: https://manuals.cobo. com/cn/portal/supported-tokens-mpc

• Ví được quản lý hoàn toàn: Ví được quản lý hoàn toàn sử dụng công nghệ mã hóa tiên tiến và công cụ kiểm soát rủi ro để đảm bảo rằng tiền của khách hàng được bảo vệ khỏi sự truy cập trái phép và các cuộc tấn công tiềm ẩn. Nó sử dụng kiến ​​trúc lưu trữ khóa riêng ba tầng (nóng-ấm-lạnh) mạnh mẽ, với 95% số tiền được lưu trữ an toàn trong ví lạnh và chỉ 5% số tiền được lưu trữ trong ví nóng và ví ấm.

• Ví MPC: Tính toán nhiều bên (MPC) là ví dành cho quản lý khóa riêng tư blockchain nâng cao công nghệ mã hóa. Cobo Portal cung cấp hai loại ví MPC: ví tổ chức, cung cấp cho các tổ chức toàn quyền kiểm soát tiền của họ hoặc tài sản của người dùng cuối và ví của người dùng cuối, cung cấp cho người dùng cuối toàn quyền kiểm soát tài sản kỹ thuật số của họ.

• Ví hợp đồng thông minh: Loại ví này hỗ trợ nhiều ví hợp đồng thông minh khác nhau, chủ yếu bao gồm Safe{Wallet } và các ví thông minh trừu tượng hóa tài khoản khác. Nó cũng hỗ trợ ủy quyền linh hoạt các ví tài khoản bên ngoài (EOA) để tương tác liền mạch với hệ sinh thái hợp đồng thông minh.

• Exchange Wallet: Exchange Wallet là một cửa hàng tổng hợp để dễ dàng quản lý giải pháp nhiều tài khoản sàn giao dịch. Nó tập trung tất cả các tài khoản sàn giao dịch vào một giao diện duy nhất, thân thiện với người dùng, cho phép xem, giám sát và quản lý tài sản trên các sàn giao dịch một cách liền mạch.

4.2 Cobo Guard - Một ứng dụng bảo mật iOS đa năng

Cobo Guard là một ứng dụng bảo mật iOS đa chức năng được phát triển độc lập bởi Cobo, được thiết kế để tăng cường bảo mật truyền tải tài sản kỹ thuật số. Nó sử dụng công nghệ mã hóa bất đối xứng để bảo vệ tài sản và đóng vai trò như một công cụ phê duyệt giao dịch và trình quản lý bảo vệ khóa riêng MPC. Đồng thời, Cobo Guard hỗ trợ xác thực đa yếu tố (MFA) dưới dạng Tài khoản Cobo và cung cấp cơ chế đăng nhập không cần mật khẩu.

• Cobo Guard tạo một cặp khóa công khai và riêng tư duy nhất cho mỗi người dùng, đảm bảo rằng bạn đã Gói các ứng dụng có cơ sở hạ tầng bảo mật mạnh mẽ.

• Khóa chung của người dùng được chia sẻ với Cobo, trong khi khóa riêng tư được lưu trữ an toàn trong Secure Enclave gốc trên iPhone của bạn. Thiết lập này đảm bảo rằng tất cả phê duyệt hành động đều được ký bằng khóa riêng của bạn và được xác thực bằng khóa chung mà bạn chia sẻ với Cobo.

• Được nâng cao bằng cách dễ dàng cho phép các yêu cầu sử dụng công nghệ xác thực sinh trắc học tiên tiến như quét vân tay, Face ID hoặc thiết bị Mã PIN Tính toàn vẹn của quá trình xác thực.

• Sau khi ràng buộc Cobo Guard, mỗi giao dịch rút tiền và thanh toán đều yêu cầu xác nhận thứ hai trong Cobo Guard. Lớp bảo mật bổ sung này cải thiện đáng kể khả năng bảo vệ giao dịch và giảm nguy cơ truy cập trái phép.

• Cobo Guard có thể hiển thị nội dung phân tích giao dịch thân thiện với người dùng trong quá trình xem xét giao dịch để tạo thuận lợi cho việc đánh giá của người đánh giá.

4.3 Nhắm mục tiêu lừa đảo

Do chi phí thấp, dễ thực hiện và khả năng thu được lợi ích đáng kể với chi phí tương đối nhỏ, lừa đảo hiện đã trở thành một trong những phương pháp được những kẻ tấn công sử dụng phổ biến. Cobo nhận thức rõ sự nguy hiểm của lừa đảo và đã thực hiện các biện pháp sau để giải quyết mối đe dọa này:

• < strong>Sử dụng các sản phẩm bảo vệ an ninh thiết bị đầu cuối hàng đầu để giám sát và ứng phó với các mối đe dọa tiềm ẩn trong thời gian thực

• < strong>Sử dụng bảo mật thiết bị đầu cuối Key Protect phần cứng

• Các quyền được phân chia cẩn thận và mọi quyền đều phải được cấp đã đăng ký

• Tiến hành thường xuyên các cuộc diễn tập lừa đảo nội bộ để nâng cao nhận thức về bảo mật của nhân viên

4.4 Chống lại các cuộc tấn công mạng

Cobo luôn duy trì mức độ tấn công mạng ở mức cao. Hãy cảnh giác và thực hiện các biện pháp bảo mật toàn diện để đảm bảo khả năng phục hồi hệ thống hiệu quả và bảo vệ hoàn toàn trước các mối đe dọa tiềm ẩn. Dựa trên các biện pháp bảo vệ toàn diện, chúng tôi đã duy trì thành tích hoàn hảo về việc "không xảy ra" sự cố bảo mật nào kể từ khi chúng tôi đi vào hoạt động vào năm 2017 và hệ thống bảo mật của chúng tôi là không thể phá hủy.

• Triển khai giám sát và bảo trì 7×24 để đảm bảo hệ thống xung quanh vận hành ổn định đồng hồ

  strong>

  • Thường xuyên tiến hành đầy đủ thử nghiệm thâm nhập và kiểm tra mã cho hệ thống kinh doanh

  • Tiến hành thường xuyên các cuộc diễn tập tấn công và phòng thủ nội bộ và bên ngoài

  • Thử nghiệm thâm nhập được các nhà cung cấp bảo mật nổi tiếng tiến hành sáu tháng một lần và không tìm thấy vấn đề bảo mật nào< /strong>

  • Cơ sở hạ tầng Cobo hiện có hơn 200 chính sách bảo mật và tiến hành kiểm tra bảo mật thường xuyên

  • Khả năng chống lại DDOS và chặn các lỗ hổng bảo mật phổ biến

  • < p style="text-align: left;">Đạt được chứng nhận tuân thủ ISO-27001 và SOC 2 loại 2