CZ критикует отчет аудита Bybit и реакция Safe Wallet на атаку Lazarus Group

Основатель Binance Changpeng Zhao (CZ) публично раскритиковал отчет по аудиту, связанный с взломом Bybit. Взлом якобы был организован пресловутой группой Лазаря. Аудит пришел к выводу, что нарушение проистекает из скомпрометированной машины разработчика Safe {Wallet}, а не систем Bybit. Тем не менее, CZ нашел объяснение неудовлетворительным, поднимая заостренные вопросы, на которые аудит не удалось ответить.

Этот инцидент вызвал ударные волны через крипто -сообщество, что вызвало опасения по поводу практики безопасности среди поставщиков кошелек и обменов. Дело также подчеркивает растущую угрозу сложных спонсируемых государством хакерских групп, таких как Lazarus, известный благодаря слабостям в крипто-экосистеме.

Safe {Wallet} выпустил официальное заявление, посвященное взлому, который привел к ошеломляющему убытке в размере 1,4 млрд. Долл. США со счета, управляемой Bybit. Согласно Safe, судебные расследования пришли к выводу, что группа Lazarus выполнила целевую атаку, ставя под угрозу безопасную машину для разработчиков {кошелек}. Этот компромисс позволил хакерам предложить замаскированную вредоносную транзакцию, которая в конечном итоге повлияла на счет Bybit.

Основные критические замечания и вопросы CZ включают:

Природа компромисса:
Что именно означает «взлом безопасного {кошелька} разработчика»?
CZ задается вопросом, включало ли нарушение социальную инженерию, вредоносную программу или какую -либо другую тактику. Понимание этого имеет решающее значение, так как это поможет другим провайдерам кошелька избежать аналогичных уязвимостей.

Доступ к учетным записям Bybit:

Как осуществлялся доступ к машине разработчика к учетной записи, управляемой Bybit?
CZ вызывает обеспокоенность по поводу того, был ли вредоносный код развернут непосредственно из среды разработчика до производства, подчеркивая потенциальные недостатки в протоколах безопасности развертывания.

Процесс проверки Ledger:
Как злоумышленники обходили множество шагов проверки Ledger?
CZ исследует, связана ли проблема из слепого подписания или неспособности подписчиков должным образом проверить транзакции.

Выбор цели:
Было ли 1,4 миллиарда долларов крупнейшей целью? Почему нападавшие не нацеливались на других?
Вопрос CZ намекает на возможность более глубоких уязвимостей и была ли эта атака частью более широкой стратегии.
Уроки для отрасли:
Что другие поставщики мульти-сиг-кошелька могут извлечь уроки из этого?
CZ призывает к действенному пониманию, что поможет поддержать общеотраслевые стандарты безопасности.