#взлом #taiko
🤔 Команда Taiko почти 2 года хранила приватные ключи от моста в публичном доступе на GitHub…
➠ В открытом репозитории проекта лежал файл enclave-key․pem – это RSA-приватный ключ, которым подписывались все SGX-анклавы системы Raiko.
➠ Именно с помощью этого ключа L1-контракты Taiko проверяли, что доказательства с L2 настоящие. Если у человека есть этот ключ – можно подделывать доказательства так, будто они пришли из настоящего анклава.
➠ Ключ лежал в публичном репозитории taikoxyz/raiko почти 2 года. Его мог скачать и использовать кто угодно. Никто из команды этого не заметил.
➠ В итоге этим и воспользовался хакер. Он зарегистрировал свой «фейковый» SGX-анклав, подписал его украденным ключом, и L1-контракты его приняли как легитимный. После этого он смог отправлять поддельные сообщения в мост и выводить средства.
➠ По итогу из моста Taiko вывели примерно $1,7m. Не через взлом смарт-контракта и не через социальную инженерию. Просто потому что приватный ключ два года валялся в открытом доступе.
Crypto Headlines
🤔 Команда Taiko почти 2 года хранила приватные ключи от моста в публичном доступе на GitHub…
➠ В открытом репозитории проекта лежал файл enclave-key․pem – это RSA-приватный ключ, которым подписывались все SGX-анклавы системы Raiko.
➠ Именно с помощью этого ключа L1-контракты Taiko проверяли, что доказательства с L2 настоящие. Если у человека есть этот ключ – можно подделывать доказательства так, будто они пришли из настоящего анклава.
➠ Ключ лежал в публичном репозитории taikoxyz/raiko почти 2 года. Его мог скачать и использовать кто угодно. Никто из команды этого не заметил.
➠ В итоге этим и воспользовался хакер. Он зарегистрировал свой «фейковый» SGX-анклав, подписал его украденным ключом, и L1-контракты его приняли как легитимный. После этого он смог отправлять поддельные сообщения в мост и выводить средства.
➠ По итогу из моста Taiko вывели примерно $1,7m. Не через взлом смарт-контракта и не через социальную инженерию. Просто потому что приватный ключ два года валялся в открытом доступе.
Crypto Headlines