Blink опубликовал разбор атаки 19 сентября: захвачено 35 кастодиальных аккаунтов, выведено 6,61 BTC
С октября 2023 года любой владелец бесплатного аккаунта Blink мог через браузер присвоить себе права поддержки: менять email и телефон на чужом аккаунте, входить от его имени и поднимать лимиты — три ошибки в проверке прав в админ-инструментах. 19 сентября атакующий захватил 35 аккаунтов и вывел около 6,61 BTC из 24 из них, а также просмотрел данные (в части случаев телефон или email) ещё 3817 аккаунтов; имён, документов, паролей и seed-фраз среди них не было. Деньги ушли из горячего кошелька, холодное мультисиг-хранилище и несамостоятельные... некастодиальные аккаунты не затронуты; всем 22 пострадавшим клиентам баланс возмещён за счёт акционеров. Ни один из 24 обчищенных аккаунтов не имел двухфакторной аутентификации, а девять попыток вывода с аккаунтов с 2FA (18 попыток) закончились нулевым убытком.
Если у вас есть кастодиальный аккаунт Blink — включите двухфакторную аутентификацию сегодня в настройках безопасности приложения, и отдельно включите её на привязанной почте. Игнорируйте любые письма и SMS об этом инциденте со ссылками: вендор, по его словам, обращался к пострадавшим только сообщениями внутри приложения и никогда не просит PIN, пароль, seed-фразу или код входа. Если вы разработчик и эксплуатируете код, производный от их открытой кодовой базы, разберите проверки прав в админ-панели по техническим деталям разбора — ссылка в посте.
Источники:
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.