Maestro, один из крупнейших бот-проектов Telegram в криптоэкосистеме, сегодня стал жертвой критического нарушения безопасности, что привело к несанкционированному переводу более 280 ETH на ошеломляющую сумму в 500 000 долларов США с учетных записей пользователей. Нарушение произошло из-за критической уязвимости, обнаруженной в контракте Router2, что привело к хаосу в проекте.
Следовательно, «Маэстро» предпринял шаги для решения этой проблемы. Однако произойдет временное прекращение доступа к токенам в пулах ликвидности на конкретных децентрализованных биржах (DEX).
Использован недостаток контракта Router2
Контракт Router2, ключевой компонент, предназначенный для управления логикой обмена токенами, содержал уязвимость, которая позволяла злоумышленникам выполнять произвольные вызовы, что приводило к незаконной передаче активов.
Охранная фирма PeckShield установила, что украденные средства попали на платформу кросс-чейн обмена Railgun, что, вероятно, является попыткой скрыть их происхождение.
С сожалением сообщаем нашим пользователям, что сегодня вечером маршрутизатор Maestro был скомпрометирован. Мы оперативно приняли меры и отключили все функции маршрутизатора.
Тем, кто пострадал, будет выплачен полный возврат средств. Для тех, кто не пострадал, ваши токены в полной безопасности…
— Маэстро🤖🤖 (@MaestroBots) 25 октября 2023 г.
Проблема заключается в уникальной конструкции контракта Router2, использующей механизм прокси, который облегчает изменение логики контракта без необходимости изменения его адреса.
Хотя эта функция была предназначена для обеспечения возможности обновления, она случайно открыла шлюз для несанкционированных вызовов. Злоумышленники воспользовались этой уязвимостью, чтобы инициировать операции «transferFrom» между любыми утвержденными адресами.
Злоумышленники использовали простой, но мощный прием. Вводя адрес токена в контракт Router2, они устанавливают функцию «transferFrom», манипулируя данными отправителя, чтобы отразить адрес жертвы, и перенаправляют токены на свои учетные записи. Эта отвратительная тактика привела к несанкционированной передаче токенов со счетов жертв на те, которые находились под контролем злоумышленников.
Maestro надеется вернуть деньги в кратчайшие сроки
Отреагировав с похвальной оперативностью, Маэстро принял незамедлительные меры. В течение 30 минут после обнаружения нарушения команда заменила логику скомпрометированного контракта Router2 на безопасный контракт Counter. Этот тактический шаг эффективно заморозил все операции маршрутизатора, предотвратив дальнейшую несанкционированную передачу данных.
Несмотря на то, что усердные усилия Maestro успешно устранили уязвимость, токены, размещенные в пулах ликвидности на известных децентрализованных биржах, включая SushiSwap, ShibaSwap и ETH PancakeSwap, останутся временно недоступными, поскольку компания проводит тщательную внутреннюю проверку.
Заверив пострадавших пользователей, команда Maestro объявила о своем намерении вернуть средства, надеемся, в течение дня.
Инцидент произошел на фоне роста популярности ботов, интегрированных в Telegram, среди криптотрейдеров. Несмотря на их удобство и простоту использования, эксперты выражают обеспокоенность по поводу мер безопасности, реализуемых этими ботами при обработке пользовательских активов.
Источник
