Eksploatacija delay modula dovela do neizvesnosti, detalji o obimu štete još nisu poznati
Gnosis Pay, platforma poznata po svom rešenju za plaćanja na Ethereum blockchainu, suočava se sa aktivnim hakerskim napadom na svoj delay modul, potvrdio je suosnivač kompanije Martin Köppelmann. Početna preporuka tima korisnicima bila je da povuku sva sredstva (EURe i GNO), što je dodatno pojačano upozorenjem blockchain bezbednosne firme PeckShield. Ipak, Köppelmann je naknadno povukao ovu preporuku, objavivši da većina korisnika ne može da povuče svoja sredstva, ali je istakao da Gnosis aktivno radi na ograničenju štete i obećao da će korisnici biti obeštećeni.
Tehnički detalji napada još uvek nisu do kraja poznati – ostaje nejasno da li je kompromitovan Zodiac delay modul sam po sebi, njegova konfiguracija u okviru Gnosis Pay infrastrukture ili postoji šira arhitektonska slabost. Prema analizi bivšeg NEAR developera Vadima Zacodila, arhitektura Gnosis Pay omogućava da potencijalna greška u „delay“ sloju omogući napadačima da ubace zlonamerne transakcije u red čekanja hiljada korisnika, iako privatni ključevi ostaju sigurni. Zacodil smatra da su korisnici trenutno zaštićeni ne toliko self-custody mehanizmima, koliko sposobnošću Gnosis tima da pauzira infrastrukturu i obezbedi sredstva iz trezora za pokriće gubitaka.
Ovaj incident dolazi neposredno nakon sličnog napada na treću stranu povezanu sa Safe, pametnim novčanikom razvijenim u okviru Gnosis ekosistema, gde je iz 86 Safe novčanika odneto oko 3,2 miliona dolara (oko 348 miliona dinara). Bezbednosni izazovi dolaze uprkos činjenici da je maj bio mesec sa značajno smanjenim ukupnim gubicima od kripto eksploatacija – prema podacima blockchain analitike, ukupni gubici u maju iznosili su oko 68,3 miliona dolara (7,4 milijarde dinara), što je pad od 90% u odnosu na april i treći uzastopni mesec sa ukupnom štetom ispod 100 miliona dolara.
Gnosis je poznat po svojoj infrastrukturi za pametne ugovore i Ethereum sidechain rešenju za plaćanja i DeFi, a trenutni napad podseća na izazove bezbednosti čak i kod višeslojnih self-custody rešenja. Tim je saopštio da je u kontaktu sa pogođenim korisnicima i radi na tome da svi izgubljeni iznosi budu refundirani, ali precizne informacije o obimu štete i vremenskom okviru za povraćaj sredstava za sada nisu poznate.