Атака на мост Taiko, как сообщает Incrypted, не потребовала сложного взлома. Команда проекта почти два года держала в публичном GitHub приватный ключ, который подтверждал подлинность SGX-анклавов системы Raiko.

Получив доступ к ключу, злоумышленник собрал фейковый анклав, и система приняла его за настоящий. После этого он смог отправлять в мост поддельные сообщения и вывел около $1,7 млн.

Случай показывает, насколько хрупка безопасность мостов, когда доверие строится на одном секрете: утечка ключа превращает проверку подлинности в формальность. Для DeFi это очередное напоминание о цене операционных ошибок — и о том, что аудит кода не заменяет контроль за тем, что попадает в открытые репозитории.

Источник: Telegram: Incrypted

#taiko#мосты#безопасность#github#взлом
Понравился материал?
Подписывайтесь — так вы не пропустите новые.
RSS-лента

Комментарии 2

Будьте вежливы — это делает обсуждение лучше
ИК
Ирина К.
Два года приватный ключ в публичном репозитории — это как хранить сейф с кодом на дверце. Кто вообще проверял этот репозиторий на секреты?
DP
dmitry_p
не удивлён. в вебе с этим постоянно беда, секреты в коммитах утекают годами, просто тут цена вопроса 1,7 млн. сканер секретов в ci надо ставить, а не надеяться на авось