Kompromittálódtak a NEAR Protocol felhasználóinak kriptotárcái
A NEAR Protocol, egy Layer 1-es blokklánc, értesítette a felhasználóit, hogy az alapértelmezett tárcában helyreállítási lehetőségként használt SMS- és e-mail-adatok júniusban kiszivárogtak egy harmadik félhez. A kiadott jelentésben a NEAR közölte, hogy a problémát megoldották, mielőtt bármilyen kár keletkezett volna.
A NEAR Protocol tárcája a wallet.near.org címen lehetővé teszi a felhasználók számára, hogy kriptotárca-fiókokhoz olyan helyreállítási opciókat adjanak hozzá, mint az e-mail adatok vagy telefonszámok. A rendszerben lévő hiba így véletlenül érzékeny adatokat tett hozzáférhetővé egy harmadik fél számára.
A NEAR elmondta, hogy képes volt gyorsan kezelni a helyzetet. Azonnal törölte a harmadik fél és a saját alkalmazottai hozzáférését az adatokhoz. Így megakadályozta, hogy a sérülékenység veszélyeztesse a blokklánc biztonságát vagy a felhasználók privát adatait.
“A tárca csapata azonnal orvosolta a helyzetet. Törölték az érzékeny adatokat, és azonosították azokat a munkatársakat, akik hozzáférhettek volna ezekhez az adatokhoz” – közölte a csapat.
Egy web3-as auditor cég fedezte fel a NEAR Protocol hibáját
A hibát június 6-án jelentette a Hacxyk nevű web3 biztonsági auditor cég, amely 50 000 dolláros jutalmat kapott a hiba bejelentéséért. Habár ez már több mint két hónapja történt, a NEAR Protocol csapata csak most osztotta meg az információt.
A Hacxyk elmondta, hogy a harmadik fél a Mixpanel, egy analitikai szolgáltató volt, amelyet a NEAR használt. A Hacxyk az incidenst a folyamatban lévő Slope Wallet problémához hasonlította, amelyben a tárcák adatait véletlenül továbbították egy központi szerverre. Az auditor cég hozzátette, hogy a NEAR esetében a privát kulcsok is veszélybe kerülhettek.
“Úgy véljük, hogy a mostani eset nagyon hasonlít a közelmúltbeli Slope tárca feltöréséhez a Solana esetében. Most is, a seed frázisok véletlenül kiszivárogtak az elemzési szolgáltatásokat kínáló harmadik feles Mixpanel céghez. Azokban az esetekben történt ez, amikor a felhasználók az e-mailt/SMS-t választották a seed frázisok visszaállítási módjaként. Ez azt jelenti, hogy a felhasználók seed kifejezései a Mixpanel szerverére kerültek.” -összegezte a Hacxyk.
A NEAR Protocol közölte, hogy a biztonsági intézkedés részeként többé nem engedik meg a felhasználóknak, hogy e-mail vagy SMS opciót válasszanak ki a fiókok helyreállításához. Azt is tanácsolta azoknak a felhasználóknak, akik korábban e-mail vagy SMS helyreállítási lehetőségeket használtak a NEAR tárcájuknál, hogy “forgassák a kulcsaikat”, vagy adjanak hozzá egy hardveres tárcát, például a Ledger-t.
A Hacxyk szerint a NEAR tárcák felhasználói modellje némileg eltér az Ethereumétól. Egy kriptofiókhoz több kulcskészlet is tartozhat különböző jogosultságokkal. A privát kulcsok rotálásával a NEAR azt üzeni a felhasználóknak, hogy vonják vissza a potenciálisan kiszivárgott kulcskészleteket, és adjanak hozzá újakat helyettük.
