Maestro, один из крупнейших бот-проектов Telegram в криптоэкосистеме, сегодня стал жертвой критического нарушения безопасности, что привело к несанкционированному переводу более 280 ETH на ошеломляющую сумму в 500 000 долларов США с учетных записей пользователей. Нарушение произошло из-за критической уязвимости, обнаруженной в контракте Router2, в результате чего проект оказался в замешательстве.
Поэтому Maestro предприняла шаги для решения этой проблемы. Однако доступ к токенам в пулах ликвидности на определенных децентрализованных биржах (DEX) будет временно прекращен.
Использован недостаток контракта Router2
Контракт Router2, ключевой компонент, предназначенный для управления логикой обмена токенов, содержал уязвимость, которая позволяла злоумышленникам выполнять произвольные вызовы, что приводило к незаконной передаче активов.
Охранная фирма PeckShield установила, что украденные средства попали на платформу кросс-чейн обмена Railgun, что, вероятно, является попыткой скрыть их происхождение.
С сожалением сообщаем нашим пользователям, что сегодня вечером маршрутизатор Maestro был взломан. Мы оперативно приняли меры и отключили все функции маршрутизатора.
Тем, кого это затронуло, будет произведен полный возврат средств. Для тех, кого это не затронуло, ваши токены в полной безопасности…
— Маэстро (@MaestroBots), 25 октября 2023 г.
Проблема заключается в уникальной конструкции контракта Router2, в которой используется прокси-механизм, который облегчает изменение логики контракта без необходимости изменения его адреса.
Хотя эта функция была предназначена для возможности обновления, она случайно открыла шлюз для несанкционированных вызовов. Злоумышленники использовали эту уязвимость, чтобы инициировать операции «transferFrom» между любыми утвержденными адресами.
Злоумышленники использовали простой, но мощный прием. Вводя адрес токена в контракт Router2, они устанавливают функцию «transferFrom», манипулируя данными отправителя, чтобы отразить адрес жертвы, и перенаправляют токены на свои учетные записи. Эта отвратительная тактика привела к несанкционированной передаче токенов со счетов жертв на те, которые находились под контролем злоумышленников.
Maestro надеется вернуть средства в кратчайшие сроки
Отвечая с похвальной оперативностью, Маэстро принял незамедлительные меры. В течение 30 минут после обнаружения нарушения команда заменила логику скомпрометированного контракта Router2 на безопасный контракт Counter. Этот тактический шаг эффективно заморозил все операции маршрутизатора, предотвращая дальнейшую несанкционированную передачу данных.
Хотя усердные усилия Maestro успешно устранили уязвимость, токены, размещенные в пулах ликвидности на известных децентрализованных биржах, включая SushiSwap, ShibaSwap и ETH PancakeSwap, останутся временно недоступными, поскольку компания проводит тщательную внутреннюю проверку.
Заверяя пострадавших пользователей, команда Maestro объявила о своем намерении вернуть средства, надеемся, в течение дня.
Инцидент произошел на фоне роста популярности ботов, интегрированных в Telegram, среди криптотрейдеров. Несмотря на их удобство и простоту использования, эксперты выражают обеспокоенность по поводу мер безопасности, реализуемых этими ботами при обработке пользовательских ресурсов.
Пост Maestro Telegram Bot пострадал от критического нарушения безопасности, впервые появился на CryptoPotato.
