Kryptovaluta-tegnebog tømt
Jill Gunter, medstifter af Espresso, rapporterede torsdag, at hendes kryptovaluta-tegnebog blev tømt som følge af en sårbarhed i en Thirdweb-kontrakt, ifølge udsagn offentliggjort på sociale medier. Gunter, der har over 10 års erfaring i kryptovalutaindustrien, sagde, at mere end $30.000 i USDC stablecoin blev stjålet fra hendes tegnebog.
Tyveriets detaljer
Midlerne blev overført til privatlivsprotokollen Railgun, mens hun forberedte en præsentation om kryptovaluta-privatliv til et arrangement i Washington, D.C. I et opfølgende indlæg detaljerede Gunter efterforskningen af tyveriet. Transaktionen, der tømt hendes jrg.eth-adresse, fandt sted den 9. december, hvor tokens var blevet flyttet til adressen dagen før i forventning om at finansiere en engelinvestering planlagt til den uge, sagde hun.
Selvom tokens blev overført fra jrg.eth til en anden adresse identificeret som 0xF215, viste transaktionen en kontraktinteraktion med 0x81d5, ifølge Gunters analyse. Hun identificerede den sårbare kontrakt som en Thirdweb-brokontrakt, som hun tidligere havde brugt til en $5-overførsel.
Reaktion fra Thirdweb
Thirdweb informerede Gunter om, at en sårbarhed var blevet opdaget i brokontrakten i april, rapporterede hun. Sårbarheden tillod enhver at få adgang til midler fra brugere, der havde godkendt ubegrænsede token-tilladelser. Kontrakten er siden blevet markeret som kompromitteret på Etherscan, en blockchain-explorer.
Gunter sagde, at hun ikke vidste, om hun ville modtage erstatning og karakteriserede sådanne risici som en erhvervssygdom i kryptovalutaindustrien. Hun lovede at donere eventuelle genvundne midler til SEAL Security Alliance og opfordrede andre til også at overveje donationer.
Yderligere sårbarheder
Thirdweb offentliggjorde et blogindlæg, der sagde, at tyveriet skyldtes, at en legacy-kontrakt ikke blev korrekt afviklet under dens sårbarhedsrespons i april 2025. Virksomheden sagde, at den permanent har deaktiveret legacy-kontrakten, og at ingen brugertegnebøger eller midler længere er i fare.
Ud over den sårbare brokontrakt afslørede Thirdweb en vidtrækkende sårbarhed i slutningen af 2023 i et almindeligt anvendt open-source bibliotek. Sikkerhedsforsker Pascal Caversaccio fra SEAL kritiserede Thirdwebs afsløringsmetode og sagde, at det at give en liste over sårbare kontrakter gav ondsindede aktører forudgående varsel.
Ifølge analyser fra ScamSniffer, et blockchain-sikkerhedsfirma, blev over 500 token-kontrakter påvirket af 2023-sårbarheden, og mindst 25 blev udnyttet.
