Opfordring til Stop af Transaktioner
Alex Smirnov, grundlægger af deBridge, har opfordret validatorer til at stoppe transaktioner, indtil der er udarbejdet en afhjælpningsplan for de berørte brugere. Separat bekræftede Trust Wallet, at ondsindet kode indlejret i sin Chrome-udvidelse førte til cirka 7 millioner dollars i stjålne aktiver på tværs af flere blockchains, hvilket fik wallet-udbyderen til at iværksætte en formel kompensationsproces.
Udnyttelse og Tilbageføringsforslag
Changpeng Zhao, grundlægger af Binance, sagde, at alle berørte tab vil blive dækket. Smirnov opfordrede offentligt validatorer på Flow blockchain til at stoppe transaktionsbehandlingen, indtil der er etableret en klar afhjælpningsplan for brugere, der er berørt af netværkets kontroversielle tilbageføringsforslag. Opfordringen kom efter en udnyttelse på 3,9 millioner dollars, der fandt sted den 27. december, da en angriber udnyttede en sårbarhed i Flows udførelseslag og siphonede midler fra netværket gennem flere cross-chain broer.
Tilbageføringsplanen blev introduceret som en nødreaktion på udnyttelsen, men udløste omfattende bekymring i Flow-økosystemet. Smirnov advarede om, at tilbageføringen skabte forvirring omkring brugerbalancer, især for dem, der broede aktiver ud af Flow i den berørte periode og nu står over for muligheden for fordoblede eller mismatchede balancer.
Reaktion fra Flow Validatorer
Som en af Flows primære bro-udbydere var deBridge direkte udsat for disse uoverensstemmelser, hvilket førte til Smirnovs opfordring til bedre gennemsigtighed og koordinering fra Flow Foundation. På trods af appellen har Flow-validatorer endnu ikke været i stand til at reagere. Blockchain-data viser, at Flow forblev stagneret ved blokhøjde 137.385.824 siden lørdag aften, selvom Flow Foundation indikerede, at netværket forventedes at genstarte inden for fire til seks timer.
Indtil videre har markedets reaktion været alvorlig. FLOW-tokenet faldt med cirka 42 % siden udnyttelsen, ifølge data fra CoinCodex. Kontroversen blev yderligere kompliceret af blandede beskeder fra interessenter i økosystemet.
Kritik af Flow’s Tilgang
I oktober sagde Dapper Labs, skaberen af Flow, at en revideret genopretningsplan ville eliminere behovet for en tilbageførsel helt, hvilket ville bevare legitim brugeraktivitet, mens netværksdriften genoprettes. Kritikere hævder dog, at skaden på tilliden allerede var sket. Smirnov beskrev tilbageføringsbeslutningen som forhastet og sagde, at økosystempartnere ikke blev ordentligt informeret, og advarede om, at tilbageførsler kan forårsage kaskadeproblemer for broer, forvaltere, børser og brugere, der handlede i god tro.
Gabriel Shapiro, juridisk rådgiver hos Delphi Labs, kritiserede Flows tilgang ved at antyde, at den effektivt skaber ubakkede aktiver og flytter byrden for afhjælpning over på broer og udstedere. Mens Dapper Labs har insisteret på, at ingen brugerbalancer – herunder deres egen kasse – blev påvirket, forbliver skepsisen.
Trust Wallets Kompensationsproces
En anden kryptorelateret virksomhed forsøger at komme sig efter en nylig udnyttelse. Trust Wallet annoncerede lanceringen af en formel kompensationsproces for brugere, der blev påvirket af en nylig sikkerhedshændelse, der involverede dens Chrome-browserudvidelse, efter opdagelsen af ondsindet kode indlejret i version 2.68 af softwaren.
Problemet blev identificeret to dage før meddelelsen, efter at rapporter dukkede op om, at brugerens midler blev drænet kort efter en opdatering, der blev frigivet den 24. december. Berørte brugere kan nu indsende krav gennem en officiel supportformular, der er vært på Trust Wallets hjemmeside. Kravprocessen kræver, at brugerne angiver detaljer, herunder deres e-mailadresse, bopælsland, kompromitterede wallet-adresser, angriberens modtageradresser og relevante transaktionshash.
Trust Wallet sagde, at de er forpligtet til at kompensere alle brugere, der er påvirket af hændelsen. Ifølge Trust Wallet blev cirka 7 millioner dollars i digitale aktiver stjålet på tværs af flere blockchains, herunder Bitcoin, Ethereum og Solana.
Blockchain-sikkerhedsfirmaet PeckShield rapporterede, at mere end 4 millioner dollars af de stjålne midler allerede var blevet kanaliseret gennem centraliserede børser som ChangeNOW, FixedFloat og KuCoin. Changpeng Zhao bekræftede offentligt, at alle tab ville blive dækket.
Konklusion
Hændelsen blev først flaget offentligt på juledag af on-chain efterforsker ZachXBT, der advarede om, at flere Trust Wallet-brugere rapporterede drænede balancer kort efter opdateringen af Chrome-udvidelsen. Trust Wallet udsendte en løsning i version 2.69 den 25. december. CEO Eowyn Chen forklarede senere, at brugere, der fik adgang til udvidelsen før den 26. december kl. 11 UTC, potentielt var påvirket.
Virksomhedens undersøgelse fastslog, at en lækket Chrome Web Store API-nøgle blev brugt til at offentliggøre den kompromitterede udvidelse, hvilket omgåede interne frigivelseskontroller. Sikkerhedsfirmaet SlowMist fandt, at den ondsindede kode indsamlede wallet seed phrases ved hjælp af et modificeret open-source analysebibliotek. Trust Wallet bekræftede, at mobilapp-brugere og brugere af andre browserudvidelser ikke blev påvirket.
