Safe前端漏洞成焦点:多签钱包黑客事件新发现

Bybit黑客事件调查报告发布:Safe官方前端成焦点

近日,遭遇重大黑客攻击的某交易平台和多签钱包Safe公布了事故调查报告。这份报告推翻了先前的初步判断,将矛头指向Safe官方前端。

最初,业内普遍认为该交易平台的以太坊冷钱包因恶意合约升级被黑客组织盗取。平台使用Safe多签钱包结合硬件冷钱包,设置了3/3的签名门槛。黑客提前部署了带后门的恶意合约,在日常操作中替换正常交易请求。

然而,这一解释存在疑点:三个签名者位于不同地点,使用不同设备和网络,集体篡改难度极大。该交易平台CEO回忆称,他是最后一个签名者,使用Ledger设备时出现问题但未察觉,签名时没显示接收地址。

最新调查结果显示,黑客组织将恶意代码注入Safe的前端,可能是Safe的云服务账户或API密钥泄露所致。由于三个签名者都使用Safe官方前端网页,导致签名信息被篡改后资金被盗。

有观点质疑,为何当天只有该交易平台遭黑客攻击?推测是黑客针对性攻击该平台的以太坊多签冷钱包,意在一次性盗取大额资金。

这一事件揭示了Web3智能合约与Web2网站前端结合的潜在风险。Safe智能合约本身未出问题,但其部署在中心化云服务上的前端成为攻击突破口。这凸显了去中心化世界中,任何中心化环节都可能成为单点风险。

业内专家建议项目方采取以下措施:

  1. 使用硬件钱包和多签组合管理大额资产,同时解决盲签问题。
  2. 实施多方验证,引入独立第三方验证者。
  3. 推动所有环节去中心化,如采用去中心化前端方案。

对普通用户而言,建议尽量避免使用中心化交易平台,做好资金隔离。专家强调,我们应该相信技术,而非"人"或"平台"。

某知名交易所创始人对Safe的调查报告提出质疑,指出报告语言模糊,并提出五大疑问:

  1. 如何破解Safe开发者机器?
  2. 开发者机器如何访问交易平台账户?
  3. 如何在多个签名者中绕过硬件钱包验证?
  4. 为何只针对这一大额地址?
  5. 其他自托管、多签名钱包提供商和用户可以从中学到什么?

尽管外部安全审查未发现Safe智能合约或源代码存在漏洞,但有用户发现Safe在GitHub上的最新代码更新中出现了一些有趣的前端更改。

目前,这起黑客事件的调查仍在进行中,相关细节有待进一步澄清。业内人士将持续关注事态发展,以期获得更多信息。

此页面可能包含第三方内容,仅供参考(非陈述/保证),不应被视为 Gate 认可其观点表述,也不得被视为财务或专业建议。详见声明
  • 赞赏
  • 3
  • 分享
评论
0/400
佛系矿工ervip
· 07-02 09:37
前端居然有后门 狗都不用
回复0
ApeShotFirstvip
· 07-02 09:34
又是前端背锅 太惨了
回复0
幸运哈希值vip
· 07-02 09:33
又是前端的锅?
回复0
交易,随时随地
qrCode
扫码下载 Gate APP
社群列表
简体中文
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)