Хакеры крадут у Bybit $1.4 миллиарда: необходимость улучшения программ вознаграждения
Поскольку убытки в сфере криптовалюты от кибератак превысили $1.5 миллиарда, эксперты по кибербезопасности призывают биржи совершенствовать программы вознаграждения за обнаружение уязвимостей, чтобы привлечь лучших этичных хакеров и усилить защиту платформ.
3 марта компания CertiK, занимающаяся безопасностью в области блокчейна, сообщила, что в феврале криптовалюты потеряли из-за хакерских атак $1.53 миллиарда, при этом на взлом Bybit пришлась большая часть потерь в размере более $1.4 миллиарда. Исключая этот инцидент, CertiK сообщила, что остальные атаки привели к убыткам в $126 миллионов, включая взлом Infini на сумму $49 миллионов.
Этичный хакер Марван Хачем отметил, что рост убытков от хакеров подчеркивает растущую потребность в улучшении программ вознаграждения за обнаружение багов. Хачем считает, что для предотвращения подобных атак биржи должны предлагать более высокие и привлекательные награды белым хакерам.
Ошибка "вне зоны" привела к взлому на $1.4 миллиарда
Марван Хачем, операционный директор фирмы FearsOff, занимающейся кибербезопасностью, подчеркнул, что криптобиржи обязаны предлагать более высокие вознаграждения этичным хакерам для предотвращения подобных инцидентов. Он пояснил, что на момент взлома Bybit, программа вознаграждений Safe, мультиподписного поставщика Bybit, считала уязвимости, связанные с фронтендом и бэкендом, находящимися вне зоны вознаграждений, что означало, что находящие такие уязвимости не получали бы награды.
«Мы часто взламываем платформы через уязвимости, обнаруженные в активах, которые считаются вне зоны. Этичные хакеры не получили бы вознаграждение за подобные находки, но преступники воспользовались ими и украли $1.5 миллиарда у Bybit,» — подчеркнул Хачем.
Официальная программа вознаграждения Bybit предлагает максимум $4,000 на своем сайте и до $10,000 на HackerOne, а это ничтожные суммы по сравнению с возможными прибылями для злонамеренных хакеров.
Хачем отмечает, что лучше заранее поощрять белых хакеров более крупными вознаграждениями, чем ожидать крупного взлома и предлагать 10% от украденных средств в виде награды для белых хакеров. Хачем считает, что это лишь «вдохновляет злоумышленников».
«Мотивирование топовых этичных хакеров посвятить время и внимание тестированию биржи путем предложения более высоких наград значительно улучшит ее безопасность, будет гораздо дешевле и сохранит ее репутацию,» — сказал Хачем.
Введение более жестких мер безопасности
Помимо улучшения программ вознаграждения за обнаружение уязвимостей, представитель CertiK заявил, что для предотвращения будущих атак, подобных взлому Bybit, необходимы более строгие меры безопасности.
Представитель CertiK отметил, что устройства для подписи, изолированные от сети, операционные системы без постоянного подключения для подтверждения транзакций и усиленные слои аутентификации для высокоценных транзакций должны стать отраслевыми стандартами.
Регулярные упражнения с красными командами и симуляции фишинга также могут помочь снизить риски от социнженерии, добавил он.
Отчет CertiK показал, что взлом Bybit произошел в результате фишинговой атаки, которая обманула подписантов мультподписи на одобрение вредоносного обновления контракта, тогда как взлом Infini обусловлен утечкой приватного ключа администратора, что привело к несанкционированным выводам средств.
Компания CertiK подчеркнула, что оба инцидента выделяют риски слепой подписи и недостаточную проверку транзакций. “Эти случаи подчеркивают необходимость более сильной аутентификации, мониторинга транзакций в реальном времени и более устойчивой защиты интерфейса пользователя для предотвращения манипуляций,” — добавили в CertiK.