Kryptovaluta-plånbok tömd av sårbarhet
Jill Gunter, medgrundare av Espresso, rapporterade på torsdagen att hennes kryptovaluta-plånbok tömdes på grund av en sårbarhet i ett Thirdweb-kontrakt, enligt uttalanden som publicerades på sociala medier. Gunter, som har över 10 års erfarenhet inom kryptovalutaindustrin, uppgav att mer än $30 000 i USDC-stablecoin stals från hennes plånbok.
Detaljer kring stölden
Medlen överfördes till integritetsprotokollet Railgun medan hon förberedde en presentation om kryptovaluta och integritet för ett evenemang i Washington, D.C., enligt hennes berättelse. I ett uppföljande inlägg detaljerade Gunter utredningen kring stölden. Transaktionen som tömde hennes jrg.eth-adress inträffade den 9 december, med tokens som hade flyttats till adressen dagen innan i förväntan på att finansiera en ängelinvestering som planerades för den veckan, uppgav hon.
Även om tokens överfördes från jrg.eth till en annan adress, identifierad som 0xF215, visade transaktionen en kontraktsinteraktion med 0x81d5, enligt Gunters analys. Hon identifierade det sårbara kontraktet som ett Thirdweb-brokontrakt som hon tidigare hade använt för en överföring på $5.
Reaktioner och åtgärder
Thirdweb informerade Gunter om att en sårbarhet hade upptäckts i brokontraktet i april, rapporterade hon. Sårbarheten gjorde det möjligt för vem som helst att få tillgång till medel från användare som hade godkänt obegränsade tokenbehörigheter. Kontraktet har sedan dess märkts som komprometterat på Etherscan, en blockchain-explorer.
”Jag vet inte om jag kommer att få ersättning och karakteriserar sådana risker som en yrkesrisk inom kryptovalutaindustrin.”
Gunter lovade att donera eventuella återvunna medel till SEAL Security Alliance och uppmanade andra att överväga donationer också. Thirdweb publicerade ett blogginlägg där de angav att stölden berodde på att ett gammalt kontrakt inte hade avvecklats korrekt under sin sårbarhetsrespons i april 2023. Företaget sa att de permanent har inaktiverat det gamla kontraktet och att inga användarplånböcker eller medel längre är i risk.
Ytterligare sårbarheter
Förutom det sårbara brokontraktet avslöjade Thirdweb en omfattande sårbarhet i slutet av 2023 i ett vanligt använt open-source-bibliotek. Säkerhetsforskaren Pascal Caversaccio från SEAL kritiserade Thirdwebs avslöjandeansats och sa att tillhandahållandet av en lista över sårbara kontrakt gav illvilliga aktörer förhandsinformation. Enligt analys av ScamSniffer, ett blockchain-säkerhetsföretag, påverkades över 500 tokenkontrakt av sårbarheten 2023 och minst 25 utnyttjades.
