Bybit-in 1,5 milyard dollarlıq kriptovalyutası mərkəzləşdirilmiş mübadilə təhlükəsizliyi ilə bağlı müzakirələrə səbəb oldu

Təhlükəsizlik mənim son 15-17 il ərzində məşğul olduğum bir məsələdir. Nə qədər bildiyinizdən asılı olmayaraq, həmişə daha ağıllı, daha sürətli və ya daha güclü biri olacaq. Bununla belə, heç vaxt pozulmamalı olan bir sıra qaydalar və prinsiplər var.

Bybit təcrübəsi mənim üçün xüsusilə illüstrativ oldu, çünki birjanın əməkdaşları fundamental və mücərrəd prinsiplərdən tutmuş konkret, təfərrüatlı tədbirlərə qədər bütün əsas təhlükəsizlik yanaşmalarına laqeyd yanaşırdılar.

Beləliklə, mən bu hack əsasında bir neçə əsas aspekti təhlil edəcəyəm.

Təhlükəsizlik Sıfır Prinsip

İllər əvvəl mən özüm üçün bu prinsipi formalaşdırmışdım: "İstənilən sistem sındırıla bilər. Yeganə sual vaxt, pul və səydir". Sisteminizi sındırmaq 1 milyon dollar qazandırarsa, təcavüzkara cəmi 10 min dollara başa gəlirsə, sistem mütləq sındırılacaq. Bununla belə, əgər hakerlik 1,1 milyon dollar tələb edirsə, o zaman sual yaranır: niyə narahat olursunuz? Təbii ki, məqsəd rəqibə zərər vermək və ya dövlət tərəfindən dəstəklənən kiberhücum etmək deyilsə.

Bu prinsip Bybit işçilərinin pozduğu şey idi. İlkin müsahibələrə görə, onlar öz sistemlərinin toxunulmaz olduğuna inanırdılar. Lakin 1,4 milyard dollarlıq qiymət etiketi hər şeyi dəyişdi.

Harada işləsəniz, başa düşməlisiniz ki, hər şey istənilən vaxt və istənilən halda sındırıla bilər. Yalnız dəyişənlər pul, vaxt və səydir. Bunu bilə-bilə irəli gedək...

Hardware Wallet + Multisig Təhlükəsizdirmi?

Bəli və yox. Avadanlıq pul kisələri həmişə hücuma məruz qalıb - Ledger və Trezor ən yaxşı nümunələrdir. Digər markalar daha da pisdir.

Bununla belə, siz hardware/multisiq cüzdanlardan istifadə edərkən riskləri azalda və mənfi təsirləri azalda bilərsiniz.

Tədqiqatçılardan və şəxsi təcrübədən toplanmış bəzi tövsiyələr bunlardır:

• Nəyi imzaladığınızı yoxlayın : Həmişə gördüklərinizin əslində imzaladığınız və ya köçürdüyünüzlə uyğun olduğundan əmin olun. Uyğunsuzluqlar görsəniz, dayandırın, fasilə verin və vəziyyəti diqqətlə qiymətləndirin.
• Brauzer əsaslı pul kisəsi əlaqələri birbaşa bağlantılardan daha təhlükəsizdir : Niyə? Brauzer pul kisələri geniş müqavilə verilənlər bazasına malikdir və bəzən yanlış pozitivlər təqdim edə bilər, lakin onlar yeni və xüsusilə təsdiqlənməmiş müqavilələrlə qarşılıqlı əlaqəni vurğulayır (bu, bu halda aktual idi).
• Pul kisəsinin proqram təminatını yeniləyin : Etik sındırma ilə məşğul olmasanız, yalnız rəsmi proqram təminatı quraşdırın. Bunu istehsalçının saytında və ya hash məbləğləri vasitəsilə yoxlaya bilərsiniz.
• İmzalamadan əvvəl əməliyyatları simulyasiya edin : Həmişə gözlənilməz dəyişiklikləri yoxlayın. Burada əsas anlayışlar əvvəlcədən yoxlama və kəsmədir .
• Alternativ doğrulama mənbələrindən istifadə edin : Bəzi faydalı vasitələrə aşağıdakılar daxildir:
  • Etherscan Giriş Məlumat Dekoderi
  • PalmeraDAO Safe Interface (Bybit hackindən sonra istifadə olunur)
  • CirclesTools SafeViewer (əlaqəli səhifədə izah olunur)
• Safe həmçinin alternativ interfeyslər təqdim etdi:
  • PalmeraDAO Tətbiqi
  • EternalSafe
  • Onchainden Tətbiqi
• Əlavə et.:
  • Təhlükəsiz API
  • Təhlükəsiz Sənədləşdirmə
  • Trezor xüsusiyyətləri

Bu ehtiyat tədbirləri sadəcə başlanğıcdır. İndi gəlin onları Radiant hackindən öyrənilən dərslərlə müqayisə edək:

• Çoxqatlı imza yoxlanışı : İstənilən anomaliya, hətta kiçik olsa da, təhlükəsizlik yoxlamasına səbəb olmalıdır.
• Müstəqil əməliyyat yoxlama cihazı : Aparat pul kisəsi məlumatlarına uyğun gələn doğrulama kodları yaradır.
• Təkmilləşdirilmiş Ledger/Trezor təhlükəsizliyi : Kritik əməliyyatlar üçün kor-koranə imzalamaqdan çəkinin.
• Təkrarlanan əməliyyat uğursuzluqlarını yoxlayın : Təkrarlanan problemlər tam əməliyyat auditini işə salmalıdır.
• Əməliyyat məlumatlarının əl ilə yoxlanılması : İmzalanmadan əvvəl əməliyyat məlumatlarını çıxarın və deşifrə edin, funksiyaların və ünvanların gözləntilərə uyğun olmasını təmin edin.
• İkili mesaj hash təsdiqi : Aparat cüzdanlarında əməliyyatları yoxlamaq üçün Gnosis təlimatından istifadə edin.

Bybit bunlardan hər hansı birini həyata keçiribmi? Mövcud məlumatlara görə - yox.

İnsan faktoru: ən zəif əlaqə

Fişinq, sosial mühəndislik və spam kiberhücumların 80%-ni təşkil edir. Bybit və Radiant halları bunu açıq şəkildə sübut edir.

Riskləri azaltmaq üçün rol bölgüsü həyata keçirin:

• Bir neçə imzalayanınız varsa, onların müstəqil yoxlama kanalları olmalıdır .
• Mülkiyyət dəyişiklikləri əməliyyatın təsdiqindən daha mürəkkəb olmalıdır .
• Soyuq pul kisələri heç vaxt məqbul itki həddindən artıq saxlamamalıdır (məsələn, hər hansı bir mübadilə üçün 1,5 milyard dollar həddindən artıqdır).
• İstənilən əməliyyat uyğunsuzluğu təsdiqlə deyil, defolt olaraq ləğv edilməlidir .
• İşçilər ən azı ayda bir dəfə davamlı təhlükəsizlik təlimi almalıdırlar .
• Multisig pul kisələri və qabaqcıl təhlükəsizlik alətlərində təcrübəsi olan ən azı bir təhlükəsizlik yoxlayıcı təyin edin .

Yenə də ictimai məlumatlar Bybit-in bu addımlardan hər hansı birinə əməl etdiyini təsdiqləmir.

Tədqiqatçı Rəyləri

Bir çox mütəxəssis bu hacklə bağlı fikir mübadiləsi aparıb. Burada bəzi əsas perspektivlər var:

• @dhkleung
• @blainemalone
• @pcaversaccio
• SlowMist Hesabatı
• @koeppelmann
• Zəncirdən Sui-istifadə Hesabatı
• Radiant Post-Mortem

Əsas paket? Hücum yüksək texniki xarakterli görünsə də, son nəticədə texnoloji zəifliklərdən daha çox insan səhvi sayəsində uğur qazandı.

Buna görə də mən Radiant və WazirX hallarını öyrənməyi çox tövsiyə edirəm. Aydındır ki, skript uşaqları bu üsulları mənimsəyir, yəni bundan sonra təkcə mübadilələr deyil, daha geniş spektrli kripto layihələri də hədəflənəcək.

Təhlükəsiz qalın!