Компания GoPlus Security, занимающаяся безопасностью в Web3, сообщила, что недавно запущенный кросс-уровневый протокол x402bridge стал жертвой уязвимости безопасности, что привело к потере более 200 пользователей USDC на общую сумму около 17,693 долларов США. Оба, блокчейн-детектив и компания по безопасности SlowMist, подтвердили, что наиболее вероятной причиной уязвимости является утечка закрытого ключа администратора, что дало злоумышленникам доступ к особым административным правам контракта. GoPlus Security настоятельно рекомендует всем пользователям, имеющим кошелек на этом протоколе, как можно скорее отменить действующие авторизации и напоминает пользователям никогда не предоставлять контрактам неограниченные полномочия. Этот инцидент выявил потенциальные риски безопасности в механизме x402, где хранение закрытых ключей на сервере может привести к утечке административных прав.
Новый протокол x402bridge подвергся атаке: избыточные полномочия раскрывают уязвимость безопасности закрытого ключа
Протокол x402bridge, спустя несколько дней после его запуска в блокчейне, столкнулся с атакой безопасности, что привело к потерям средств пользователей. Механизм этого протокола требует, чтобы пользователи сначала получили разрешение от контракта Owner перед созданием USDC. В этом инциденте именно это избыточное разрешение привело к тому, что стабильные монеты более чем 200 пользователей были переведены.
Нападающий использует скомпрометированный закрытый ключ для кражи пользователей USDC
Согласно наблюдениям GoPlus Security, процесс атаки ясно указывает на злоупотребление полномочиями:
- Передача прав: адрес создателя (0xed1A, начиная с ), передал право собственности адресу 0x2b8F, предоставив последнему специальные административные права, которые принадлежат команде x402bridge, включая возможность изменения ключевых настроек и передачи активов.
- Выполнение вредоносной функции: После получения контроля новый адрес владельца немедленно выполнил функцию под названием “transferUserToken”, что позволило этому адресу извлекать остатки USD Coins из всех ранее授权ованных этому контракту Кошелек.
- Потеря и перевод средств: адрес 0x2b8F украл у пользователя USDC на сумму около 17,693 USD, после чего обменял украденные средства на эфир и перевел их в сеть Arbitrum через несколько кросс-цепочных транзакций.
Корень уязвимости: Риски хранения закрытых ключей в механизме x402
Команда x402bridge отреагировала на этот инцидент с уязвимостью, подтвердив, что атака произошла из-за утечки Закрытого ключа, что привело к краже десятков тестовых и основных Кошелек. Проект приостановил все активные мероприятия и закрыл сайт, а также сообщил об этом в правоохранительные органы.
- Риски процесса авторизации: Протокол ранее объяснял принцип работы своего механизма x402: пользователи подписывают или одобряют транзакции через веб-интерфейс, информация об авторизации отправляется на сервер в бекенде, после чего сервер извлекает средства и создает токены.
- Риск раскрытия закрытого ключа: Команда призналась: “Когда мы запускаем на x402scan.com, нам необходимо хранить закрытый ключ на сервере для вызова методов контракта.” Этот шаг может привести к раскрытию закрытого ключа администратора на этапе подключения к Интернету, что может вызвать утечку полномочий. Как только закрытый ключ будет украден, хакеры смогут захватить все полномочия администратора и перераспределить средства пользователей.
За несколько дней до этого атаки использование токена x402 резко возросло. 27 октября рыночная капитализация токена x402 впервые преодолела 800 миллионов долларов, а объем торгов по протоколу x402 на основных CEX за неделю достиг 500 000 сделок, что составило рост на 10,780%.
Рекомендации по безопасности: GoPlus призывает пользователей немедленно отменить авторизацию
Учитывая серьезность этой утечки, GoPlus Security срочно рекомендует пользователям, имеющим Кошелек на данном Протоколе, немедленно отменить все текущие авторизации. Безопасная компания также напоминает всем пользователям:
- Проверьте адрес: Перед тем, как одобрить любое перечисление, убедитесь, что авторизованный адрес является официальным адресом проекта.
- Ограничение суммы авторизации: предоставляйте только необходимую сумму и не давайте контракту неограниченную авторизацию.
- Регулярные проверки: Регулярно проверяйте и отменяйте ненужные авторизации.
Заключение
Инцидент с утечкой закрытого ключа x402bridge снова поднял вопрос о рисках, связанных с централизованными компонентами (такими как серверы, хранящие закрытые ключи), в области Web3. Несмотря на то, что протокол x402 направлен на реализацию мгновенных, программируемых платежей с использованием состояния HTTP 402 Payment Required для стабильной валюты, уязвимости в механизме реализации должны быть немедленно исправлены. Для пользователей эта атака стала дорогим уроком, напоминающим нам о необходимости оставаться бдительными и осторожно управлять авторизацией кошелька при взаимодействии с любыми протоколами в блокчейне.
Отказ от ответственности: Информация на этой странице может поступать от третьих лиц и не отражает взгляды или мнения Gate. Содержание, представленное на этой странице, предназначено исключительно для справки и не является финансовой, инвестиционной или юридической консультацией. Gate не гарантирует точность или полноту информации и не несет ответственности за любые убытки, возникшие от использования этой информации. Инвестиции в виртуальные активы несут высокие риски и подвержены значительной ценовой волатильности. Вы можете потерять весь инвестированный капитал. Пожалуйста, полностью понимайте соответствующие риски и принимайте разумные решения, исходя из собственного финансового положения и толерантности к риску. Для получения подробностей, пожалуйста, обратитесь к
Отказу от ответственности.
Связанные статьи
Полный разбор регулирования японских стейблкоинов: от правил расчёта движения средств до запуска JPYC — три пути соответствующего выпуска, чтобы всё понять с первого раза
Япония является одним из ключевых экономических субъектов в мире, которая одной из первых создала полноценную правовую основу для стейблкоинов. По мере того, как с внесением поправок в 2023 году в Закон о расчетах денежных средств (Закон о платежах с внесенными изменениями) он вступил в официальную силу, выпуск стейблкоинов в иенах вышел из правовой «серой зоны» к четким правилам, а в 2025 году пришел к своему первому официальному запуску соответствующего требованиям стейблкоина в иенах JPYC. В этой статье подробно разбираются предпосылки развития законодательства Японии о стейблкоинах, три пути соответствующего требованиям выпуска, а также ключевые примеры на текущем рынке — для того, чтобы учреждениям финансового сектора Тайваня и криптоиндустрии было что взять на вооружение.
Правовая основа стейблкоинов в Японии: от краха UST до формирования нормативной базы
В мае 2022 года алгоритмический стейблкоин TerraUSD (UST) потерпел крах, что вызвало в мире повышенный интерес к регулированию стейблкоинов. Япония вслед за этим ускорила продвижение законодательства: в июне того же года японский парламент официально принял законопроект о стейблкоинах, четко определив, что стейблкоины должны быть привязаны к законным платежным средствам, и что они должны быть
ChainNewsAbmedia56м назад
ClearBank получает одобрение MiCA на статус CASP, планирует запустить сервисы стейблкоинов EURC и USDC
ClearBank недавно получила одобрение Управления финансовых рынков Нидерландов, став поставщиком услуг для криптоактивов. Компания запустит услуги стейблкоинов EURC и USDC, чтобы повысить эффективность трансграничных платежей, а также углубит сотрудничество с одним CEX, предоставив сберегательные счета, охватывающие компенсационную программу по финансовым услугам.
GateNews7ч назад
Circle публикует дорожную карту базовой кроссчейн-инфраструктуры; объем переводов по CCTP превысил 110 млрд долларов США.
Circle публикует дорожную карту по кроссчейн-интероперабельной инфраструктуре; с момента запуска CCTP в апреле 2023 года обработано более 110 млрд долларов США в переводах USDC, поддерживаются 20 блокчейнов. В дальнейшем планируется расширение на другие активы, а также запуск нескольких инновационных продуктов, чтобы упростить кроссчейн-рабочие процессы.
GateNews04-11 00:03
Compass Point понизила рейтинг Circle до «продавать», целевая цена снижена до 77 долларов
Аналитик Compass Point снизил рейтинг Circle с «нейтрального» до «продавать», целевая цена понижена до 77 долларов. Причина в том, что рост USDC в основном обеспечивается низкоприбыльными платформами, что влияет на выручку компании. Ожидается, что результаты в первом квартале окажутся ниже ожиданий, а EBITDA сократится на 19% по сравнению с предыдущим кварталом. Несмотря на это, если криптовалютный рынок восстановится, перспективы Circle могут улучшиться.
GateNews04-10 16:06
Circle за последний месяц суммарно отчеканила 10,5 млрд USDC в сети Solana
Новости Gate News, 10 апреля, Circle сегодня снова добавила чеканку 250 миллионов монет USDC. Согласно данным, за прошедший месяц Circle уже отчеканила в сети Solana в общей сложности 10,5 миллиарда монет USDC.
GateNews04-10 15:51
Circle отвечает на инцидент с взломом Drift Protocol: заморозка USDC должна быть выполнена в соответствии с законом, призыв ускорить принятие законодательства о криптовалютах
Генеральный директор по стратегии Circle Данте Диспарте прокомментировал инцидент с кражей Drift Protocol, подчеркнув, что заморозка USDC осуществляется в рамках закона, призвал усилить координацию между правом и технологиями и предложил децентрализованным финансовым протоколам заимствовать механизмы защиты традиционных рынков, чтобы обеспечить правовую защиту права собственности и финансовой конфиденциальности.
GateNews04-10 12:19
