Обережно шахрайство: Unleash Protocol піддається багатопідписній експлуатації - U.Today

Unleash Protocol розкрив несанкціоновану діяльність, що стосувалася його смарт-контрактів і призвела до зняття та переказів коштів користувачів. Розслідування CertiK Alert виявило депозити Ethereum у Tornado Cash після експлойту Unleash Protocol.

Unleash Protocol досліджує мультиsig-експлойт

CertiK Alert повідомив у X, що виявив депозити 1 337,1 ETH, оцінювані приблизно в 3,9 мільйона доларів, переказані у Tornado Cash. Платформа пов’язала цей переказ із гаманцем за адресою 0xc946981F5dFBFA10cf858B95d51Fc06DCD15BfE3.

CertiK Alert додав, що кошти простежуються до підозрілих зняттів Wrapped ETH та Story токенів із можливо скомпрометованого мультиsig.

Звіт з’явився незабаром після того, як Unleash Protocol оголосив про розслідування експлойту, що призвів до втрати коштів користувачів.

Команда Unleash Protocol заявила, що початкове розслідування показало, що зовнішня адреса отримала адміністративний контроль через свою мультиsig-управління.

Після атаки зловмисники здійснили несанкціоноване оновлення контракту, що дозволило зняття активів без дозволу. Це відбулося поза межами запланованих процедур управління та операцій Unleash.

Зазначені активи, що постраждали, включають WIP, USDC, WETH, stIP та vIP. Після зняття активів зловмисники здійснили їх мостинг через сторонню інфраструктуру, а потім відправили на зовнішні адреси.

Як Unleash керує ситуацією з експлойтом

У своєму оголошенні команда Unleash Protocol заявила, що не має доказів компрометації контрактів Story Protocol, валідаторів або базової інфраструктури. Вони також додали, що вплив, здається, обмежений контрактами та адміністративним контролем, специфічним для Unleash.

Команда, однак, запевнила користувачів, що розслідування триває, і всі висновки будуть підтверджені перед остаточним розголошенням.

Щоб запобігти подальшим ризикам, вони призупинили всі операції Unleash Protocol. Також команда зазначила, що тісно співпрацює з незалежними експертами з безпеки та слідчими для визначення корінної причини.

Це доповнюється повним оглядом активності підписантів мультиsig, практики управління ключами та процесів управління.

Користувачам рекомендується утриматися від взаємодії з контрактами Unleash Protocol і слідкувати лише за офіційними каналами комунікації Unleash для отримання точних оновлень.

Варто зазначити, що мультиsig-експлойт Unleash — це лише останній випадок серед недавніх крадіжок у криптовалютній сфері. Як повідомляє U.Today, один із користувачів криптовалюти нещодавно втратив 50 мільйонів USDT через шахрайство з підробкою адрес.

Перед цим атаками зловмисники досліджували вразливість у XWiki та DELMIA Apriso. В результаті вони майнили криптовалюту Monero (XMR) без дозволу.

У ще одній недавній схемі зловмисники викрали криптовалюту на суму $773 000 з проекту DeFi Hyperdrive.