Un bref discours sur le Solana Hack by@wole
847 lectures

Un bref discours sur le Solana Hack

2022/08/04
3 min
par @wole 847 lectures
tldt arrow
FR
Read on Terminal Reader

Trop long; Pour lire

Solana n'a pas été piraté. Au lieu de cela, un fournisseur de portefeuille, qui enregistrait les clés privées des utilisateurs, a été compromis.

Company Mentioned

Mention Thumbnail

Coin Mentioned

Mention Thumbnail
featured image - Un bref discours sur le Solana Hack
Hephzibah Adejumo HackerNoon profile picture

@wole

Hephzibah Adejumo

Web3 Educator/Writer, Blockchain Product Manager, DeFi Enthusiast, Blockchain Security Expert,...

Sur @wole
LEARN MORE ABOUT @WOLE'S EXPERTISE AND PLACE ON THE INTERNET.
react to story with heart

Le 2 août 2022, l'écosystème Solana a été touché par une attaque qui a touché 8 000 portefeuilles et les a vidé d'un excédent de 5 millions de dollars en jetons SOL et SPL.

Piratage de portefeuilles cryptographiques

Votre portefeuille peut être compromis si vous signez une transaction malveillante ou exposez vos clés privées. Par conséquent, tout ce que vous devez faire pour vous protéger est de garder vos clés en sécurité et d'éviter de signer des transactions sommaires. Cela semble assez facile, non ? Mauvais.

Les escroqueries cryptographiques impliquant des piratages et des drains de portefeuille utilisent diverses techniques de piratage, y compris l'ingénierie sociale. Le thème courant est d'inciter les gens à connecter leurs portefeuilles à des sites, protocoles et dApps malveillants, et à signer des transactions.

Dans les cas où la cible ne peut pas être amenée à signer une transaction, la ligne d'action suivante consiste à accéder à ses clés privées. Vos clés privées peuvent être compromises si un tiers y a accès, par exemple si vous les stockez sur votre appareil ou sous forme électronique.

Le piratage Solana

Solana n'a pas été piraté et reste une blockchain sécurisée. Le Solana Hack fait référence à tort à la compromission de 8 000 portefeuilles, ce qui a entraîné une perte de fonds d'environ 5 millions de dollars. Une fois qu'il est devenu évident qu'un piratage était en cours, il a été conseillé à la communauté de révoquer toutes les connexions de confiance établies avec tous les protocoles. Cependant, cela n'a pas arrêté le piratage.

La plupart des portefeuilles épuisés n'avaient signé aucune transaction auparavant, donc une transaction malveillante est exclue. Une enquête préliminaire montre que les portefeuilles envoyaient les fonds par eux-mêmes.

La prochaine chose à considérer est une fuite de clés privées. Il semble presque invraisemblable que tous ces portefeuilles aient eu leurs clés divulguées et qu'une attaque ait été lancée simultanément. Il serait compréhensible qu'il s'agisse d'une organisation victime d'une violation puisqu'elle utilise une base de données centralisée, mais il s'agissait d'utilisateurs aléatoires sans lien apparent entre eux.

En raison de la nature de la blockchain et de la manière dont les portefeuilles non dépositaires sont créés, aucune entité ne devrait avoir accès à vos clés à moins que vous n'ayez été négligent avec elles.

Un portefeuille non dépositaire est créé sur votre appareil et les informations ne sont pas envoyées sur un serveur. Lorsque des portefeuilles non dépositaires sont créés, les clés sont générées de manière aléatoire sans relation mathématique entre les clés et les adresses correspondantes. Je ne veux pas entrer dans les détails techniques, mais une clé ne peut pas être générée à partir d'une adresse.

Étant donné que le piratage n'était pas dû à la signature d'une transaction malveillante, il est évident qu'il s'agissait d'une fuite de clés. La question est maintenant de savoir comment les clés ont été divulguées. Les clés privées peuvent être divulguées de multiples façons, telles que :

  • Vous stockiez négligemment vos clés, comme dans votre journal, où elles peuvent facilement être exposées.
  • Votre appareil est infecté par un programme de surveillance, tel qu'un enregistreur de frappe.
  • Vous envoyiez des clés sur Internet, ce qui vous rend vulnérable aux attaques de l'homme du milieu.

Mais dans une tournure inattendue, il a été révélé que la violation avait été causée par un fournisseur de portefeuille appelé Slope Wallet. Une enquête menée par des auditeurs de sécurité et des développeurs a révélé que des clés privées étaient transmises à un dispositif de surveillance des applications et que les portefeuilles concernés étaient soit créés, soit importés dans Slope Wallet.

Slope Wallet a enregistré des phrases de départ de portefeuille dans leurs serveurs, ce qui ne devrait pas être possible pour les portefeuilles non dépositaires puisque le portefeuille est créé sur votre appareil. C'était peut-être un code imprudent, leur permettant de lire des informations et de les enregistrer, ou c'était par conception. Cette journalisation des clés a permis au pirate de mettre la main dessus en violant la base de données de Slope. Slope Wallet est censé être un fournisseur de services de portefeuille non dépositaire, et une fuite comme celle-ci commence à soulever des questions sur la sécurité et la confidentialité en général.

Hephzibah Adejumo HackerNoon profile picture
by Hephzibah Adejumo @wole.Web3 Educator/Writer, Blockchain Product Manager, DeFi Enthusiast, Blockchain Security Expert, and Developer.
Read My Stories

HISTOIRES CONNEXES

L O A D I N G
. . . comments & more!
Hackernoon hq - po box 2206, edwards, colorado 81632, usa