😭 Взлом без бага

Команда DSF.Finance рассказала о взломе, в котором злоумышленникам не понадобились ни баг в коде, ни фишинг. Деньги пользователей вывели после вооруженного нападения на CTO протокола.

По словам команды, на CTO Андрея напали у него дома во Вьетнаме. Угрожая расправой ему и семье, нападавшие заставили его открыть удаленный доступ к компьютеру, где хранились учетные данные и ключи для управления инфраструктурой и смарт-контрактами DSF, и забрали телефон. Позже Андрей потерял сознание: по предварительным данным, его заставили выпить неизвестное вещество.

Получив компьютер под контроль, злоумышленники запустили функцию экстренного вывода средств. Ее заложили как раз на случай взлома, чтобы команда успела увести активы пользователей из-под удара. Мультисиг их не остановил: для админских операций в DSF требовались три подписи с устройств двух фаундеров, но у вывода нашелся отдельный путь, где эти подписи не нужны.

🤑 По предварительной оценке, протокол потерял около $500 тыс., и примерно половина из них уже прошла через миксер. К делу подключились правоохранительные органы, а коллеги Андрея во Вьетнаме помогают следствию.

Слабое место нашлось в протоколе, который почти четыре года строили как консервативный способ размещать капитал в DeFi: без погони за максимальной доходностью и с минимумом единых точек отказа. Депозиты уходили через смарт-контракты в пулы Curve, а не на кошельки команды, и распределялись между несколькими пулами и стейблкоинами разных эмитентов. С контрактами можно было работать напрямую, даже если сайт лежит, а до этого инцидента протокол сохранял тело депозитов пользователей на протяжении нескольких рыночных циклов.

Все эти меры закрывали разные риски, однако один путь вывода замкнул контроль над средствами на одного человека. Команда сама называет это критической ошибкой архитектуры: полномочия такого уровня не должны зависеть от безопасности одного сотрудника.

😱 Проблема при этом касается не только DSF: админские функции есть почти у всех команд в DeFi, и чем сложнее протокол, тем чаще ему нужен человек. Без таких функций команда не отреагирует на инцидент, не поменяет параметры, не выкатит обновление и не закроет найденную уязвимость. Чем больше у команды влияния, тем дороже обходится её компрометация. Отсюда и такая популярность у мультисигов, разграничения ролей и таймлоков.

Привилегированный доступ в DeFi теряли и раньше, из-за багов, инсайдеров, утекших ключей и социальной инженерии. Здесь же его получили силой, поэтому в DSF не хотят списывать случившееся на очередной инцидент, после которого всем советуют добавить технической защиты.

Главный вопрос, который поднимают в DSF, касается людей. Протокол можно сделать и так, что ни один человек даже под угрозой смерти не сможет вывести деньги: убрать админские функции или распределить полномочия между десятками независимых участников.

🔒 Но нападавшие могут не понять этих ограничений или просто не поверить, что жертва правда ничего не может сделать. Выходит, техническая защита спасает средства пользователей, но не разработчиков.

Для остальных протоколов вывод из этой истории простой: функция, которая должна спасать деньги при взломе, сама становится самым ценным доступом, и держать ее в руках одного человека нельзя. Сможет ли DSF вернуть хотя бы часть средств, станет понятно по итогам расследования.

Подписывайтесь на канал, ставьте лайк, заходите в чат👇

🧑‍🚀 Канал | Чат | Обменник