Звіт: експлойт маркера GALA став результатом витоку публічного приватного ключа на GitHub

Схоже, витік приватного ключа спричинив зміну власника зламаного смарт-контракту 70 днів тому.

Згідно з новою публікацією фірми безпеки блокчейну SlowMist від 7 листопада, здається, що минулого тижня експлойт токенів, який вплинув на проект GameFi Gala Games, став результатом публічного витоку відповідних ключів безпеки на GitHub. Як розповідає SlowMist, pNetwork, міжланцюговий міст взаємодії, який використовується Gala Games у смарт-ланцюзі BNB, мав три привілейовані ролі в смарт-контракті pGALA.

"Роль адміністратора використовується для керування оновленнями та змінами адреси адміністрування контракту проксі. Роль DEFAULT_ADMIN_ROLE використовується для керування різними привілейованими ролями в логіці (наприклад: MINTER_ROLE), а MINTER_ROLE керує повноваженнями карбування pGALA маркер."

SlowMist пояснив, що ролі DEFAULT_ADMIN_ROLE та MINTER_ROLE перевіряються pNetwork під час ініціалізації. У той же час договір адміністрування проксі був зовнішньою адресою, відповідальною за оновлення контракту pGALA. Однак компанія опублікувала знімок екрана, на якому стверджується, що відкритий закритий ключ адреси власника адміністратора проксі-сервера був відкритий і загальнодоступний на GitHub. Таким чином, будь-який користувач, який має доступ до закритого ключа, міг будь-коли маніпулювати контрактом pGALA. 28 серпня було змінено власника контракту про адміністрування проксі-сервера, що залишило протокол вразливим для атак.

Міст токенів Gala Games був використаний 3 листопада після того, як одна адреса гаманця, схоже, викарбувала понад 2 мільярди доларів у токенах GALA (GALA) з повітря та викинула їх на децентралізовану біржу PancakeSwap. Приблизно 12 977 BNB (BNB) на суму 4,5 мільйона доларів США було взято з пулу ліквідності.

Криптовалютна біржа Huobi нібито...