Översikt av USDG-godkännanden och säkerhetsrisker
Intäkter har kopplats till skadliga USDG-godkännanden som tillät angripare att få obegränsade utgiftsbehörigheter innan de flyttade medel från användarnas plånböcker i samma transaktion. Blockchain-säkerhetsföretaget Salus rapporterade att angripare fick tillgång till tillståndssignaturer från användare och skickade in dem för att säkra obegränsad behörighet att spendera deras USDG.
Angreppets genomförande
När godkännandet beviljades, kallade förövarna omedelbart på transferFrom-funktionen för att flytta token. Denna process involverade skadliga godkännanden där förövarna använde användarnas tillståndssignaturer för att få obegränsad behörighet att spendera deras USDG, och kallade sedan omedelbart på transferFrom. Godkännandet och överföringen av medel slutfördes i samma transaktion, vilket dränerade användarnas plånböcker.
”Båda stegen genomfördes inom en enda transaktion, vilket lämnade användarna med lite tid att reagera när deras signaturer hade skickats.”
Medel som togs genom transaktionerna delades sedan mellan två adresser som kontrollerades av angriparna, med 20 % skickat till en adress och 80 % till en annan.
Likheter med tidigare angrepp
Salus jämförde distributionsmönstret med intäktsdelningsstrukturen som användes av Inferno Drainer, en tjänst för plånboksdränering. Säkerhetsföretaget uppgav separat att Revenues marknadsföringsmetoder liknade FomoPeeks modell, där kryptoinfluencers, allmänt kända som KOLs, användes för att nå potentiella offer.
Godkännandefiske och dess konsekvenser
I centrum för de rapporterade stölderna fanns tillståndssignaturer, som kan tillåta tokeninnehavare att godkänna utgifter utan att först skicka in en separat godkännande-transaktion on-chain. När angriparna fick tag på signaturerna, sa Salus att de skickade in dem för att auktorisera obegränsad USDG-utgift och följde godkännandet med transferFrom.
”Metoden passar en vanlig form av godkännandefiske där angripare inte behöver få tag på en plånboks privata nyckel eller fras.”
En liknande godkännandattack i juli resulterade i att en Ethereum-användare förlorade nästan 1 miljon dollar efter att ha signerat en skadlig transaktion.
Revenues verksamhet och säkerhetsåtgärder
Revenue beskriver sig själv som en tjänst för att flytta medel från X Money till kryptovaluta utan know your customer-kontroller. Deras webbplats säger till användarna att logga in med ett X-konto, skapa en beställning och skicka dollar genom X Money till kontot. Revenue tar ut en avgift på 2 % plus 0,50 dollar.
Frågor kring Revenue dök upp flera dagar innan Salus avslöjade de påstådda skadliga godkännandena. Den 1 oktober sa projektet att kontrollen av sitt sociala mediekonto hade blivit komprometterad av någon kopplad till sin modereringsoperation.
Avslutande tankar
Revenues webbplats presenterar för närvarande säkerhetsinstruktioner som säger till användarna att projektet aldrig kommer att kontakta dem först genom direkta meddelanden eller begära lösenord, fraser eller privata nycklar. Salus sa att Revenues marknadsföringsmetod liknade metoderna kopplade till FomoPeek, där KOLs användes för att attrahera användare.
