OpenZeppelin розкриває «високу вразливість» у DeFi Wallet Argent

За словами провідних хакерів OpenZeppelin, у гаманці Ethereum Argent було знайдено та виправлено «високу вразливість».

Розкритий П'ятниця, дослідник безпеки OpenZeppelin ALICE Хеншоу виявила вразливість у Argent, яка дозволяла б викачувати кошти користувачів із гаманців, які не мали функції «охоронця» Argent.

За матеріалами OpenZepplin публікація в блозі і прес-релізі, новиною про Цікаве вперше поділилися з Argent 12 червня:

«Дослідження OpenZeppelin виявило помилку в останній версії смарт-контрактів Argent, яка дозволяла будь-кому запустити процес відновлення гаманця без підпису — на будь-якому гаманці без опікунів — щойно гаманець буде оновлено».

У разі атаки у користувачів було лише 36 годин, щоб запобігти витоку коштів гаманця. Навіть тоді кошти користувачів можуть бути заморожені через атаку типу «відмова в обслуговуванні» (DoS), пише OpenZeppelin.

За словами Хеншоу, уразливість виникла через оновлення гаманця 30 березня. OpenZeppelin заявив, що 329 гаманців із 162 ефірами (ETH) і нерозкритими токенами децентралізованого Фінанси (DeFi) знаходяться під загрозою. Інші 5513 гаманців також були вразливі після оновлення до нового програмного забезпечення Argent, йдеться в блозі.

За словами фірми, кошти Argent не постраждали, тому було випущено патч. Хеншоу отримав 25 000 доларів DAI як компенсацію.

«Тільки 61 гаманець без Guardians і з ураженим оновленням опинився під загрозою», — сказав CoinDesk речник Argent Метью Райт. "Наша модель безпеки означала, що вони мали 36 годин, щоб заблокувати її, просто натиснувши "Скасувати" в додатку. 0 коштів було втрачено. Ми вважаємо, що це підкреслює переваги наявності моделі безпеки з відкритим кодом, і ми раді нагородити OpenZeppelin винагородою за їхню роботу".

Argent визнав уразливість у твіті в п’ятницю вранці, подякувавши OpenZeppelin за роботу:

У березні Argent зібрав 12 мільйонів доларів у серії A, яку очолює Paradigm Ventures. Гаманець інтегрується з популярними продуктами DeFi, такими як Maker і Compound.

«Вразливість, виявлена ​​нашими дослідниками безпеки, могла призвести до того, що багато користувачів втратили контроль над своїми коштами, коли вони оновили до останньої версії гаманця Argent», — сказав у заяві генеральний директор OpenZeppelin Деміан Бренер. «Команда Argent QUICK вжила заходів, щоб вирішити цю проблему, щоб кошти користувачів не постраждали».