Інцидент безпеки Slope Wallet: уроки з керування ключами та захисту гаманця

Огляд інциденту

У серпні 2022 року відбулася масштабна атака на користувачів застосунку Slope wallet. За близько чотири години зловмисники скомпрометували приблизно 9 231 гаманець. Користувачі втратили криптоактиви на суму близько 4,1 мільйона доларів США на той момент. Зловмисники використали приватні ключі для підписання та виконання шкідливих транзакцій без дозволу власників. Це свідчить про серйозний компроміс облікових даних користувачів. Інцидент є одним із найзначніших випадків порушення безпеки в екосистемі Solana і слугує нагадуванням про необхідність дотримання безпеки гаманців та правильного керування ключами.

Технічне розслідування

Розслідування за участі розробників Solana, аналітичних компаній і аудиторів безпеки виявило першопричину компрометації. Аналіз транзакцій у мережі підтвердив факт витоку або скомпрометованості приватних ключів користувачів. Джерело порушення пов’язане із застосунками Slope wallet для iOS та Android. Критичним чинником стало ненавмисне надсилання приватних ключів користувачів Slope wallet до сервісу моніторингу застосунків. Однак точний спосіб отримання або перехоплення цієї інформації зловмисником досі розслідується. Жодних уразливостей у коді ядра Solana, інфраструктурі Solana Labs чи системах Solana Foundation не виявили. Це була помилка саме на рівні застосунку Slope wallet, а не протоколу Solana.

Оцінка впливу

Хоча експлойт торкнувся лише провайдера Slope wallet, наслідки відчули і поза межами користувачів Slope. Користувачі інших програмних гаманців, як-от Phantom і Solflare, могли постраждати, якщо повторно використовували сид-фрази, раніше згенеровані або збережені у Slope. Гаманці Ethereum і Solana використовують BIP39 мнемоніки для генерації сид-фраз. Отже, користувачі, які імпортували одну і ту ж сид-фразу і в Ethereum, і в Solana гаманці, потенційно ризикували в обох мережах. Апаратні гаманці залишилися захищеними навіть при використанні із Slope, оскільки не розкривають приватні ключі застосункам. Гаманці, створені з сид-фраз, які не імпортувалися до Slope, залишилися незачепленими. Вразливість проявлялася лише після одного кроку — імпорту сид-фрази у застосунок Slope. Виробництво блоків і функціонування мережі не постраждали.

Кроки мінімізації ризиків

Користувачам, які могли постраждати, слід виконати такі захисні дії. Створити нову сид-фразу у перевіреному гаманці. Перевести всі активи, включно з токенами та незамінними токенами (NFT), із скомпрометованого гаманця на новий. Стару адресу потрібно остаточно залишити та вважати безповоротно скомпрометованою. Не варто повторно використовувати гаманці, створені з сид-фраз, які вже застосовувалися в Slope. Команда Slope співпрацювала з розробниками, експертами з безпеки та іншими протоколами екосистеми для повного з’ясування масштабів інциденту й опублікувала підсумковий аналіз.

Висновки

Інцидент із Slope wallet — це серйозний випадок порушення безпеки, що спричинив значні фінансові втрати для тисяч користувачів. Подія довела, що навіть популярні гаманці можуть зазнати серйозних збоїв безпеки, якщо приватні ключі випадково потрапляють до сторонніх сервісів. Атака обмежилася застосунком Slope, не зачепивши протокол Solana, але підкреслила необхідність обережності під час імпорту сид-фраз у будь-який застосунок та потребу у впровадженні надійних захисних практик. Інцидент служить нагадуванням, що безпека гаманця залишається ключовою для керування криптовалютою, а користувачі мають постійно захищати приватні ключі й сид-фрази від ризику на рівні застосунків.

Поширені питання

Що таке Slope Wallet і як він працює у Solana?

Slope Wallet — це гаманець для криптовалюти Solana, який забезпечує безпечне зберігання та керування цифровими активами. Гаманець інтегрується з платформою Slope Finance, забезпечує доступ до децентралізованих бірж і функцій NFT у блокчейні Solana.

Як налаштувати і використовувати Slope Wallet?

Завантажте Slope Wallet з офіційного сайту, створіть обліковий запис і підключіть гаманець Solana. Керуйте активами, торгуйте токенами й отримуйте доступ до DeFi-функцій у застосунку.

Чи безпечний Slope Wallet?

Так, Slope Wallet є безпечним. Гаманець проходить регулярні аудити та перевірки безпеки, а всі виявлені уразливості усуваються шляхом постійних оновлень.

Як імпортувати або створити гаманець у Slope?

Відвідайте сайт Slope wallet і натисніть “Add to Chrome” для встановлення розширення. Дотримуйтесь інструкцій для створення нового гаманця або імпорту існуючого за допомогою сид-фрази чи приватного ключа.

Які переваги використання Slope Wallet порівняно з іншими гаманцями Solana?

Slope Wallet забезпечує глибоку інтеграцію з екосистемою Solana, має розширені торгові функції та зручний інтерфейс. Гаманець забезпечує швидшу обробку транзакцій та розширений доступ до DeFi, що робить його ефективним для активних трейдерів і розробників у Solana.