Інцидент безпеки Slope Wallet: комплексний огляд

Огляд інциденту

У серпні 2022 року в застосунку Slope Wallet стався серйозний інцидент безпеки, що тривав близько 4 годин. За цей час зловмисники скомпрометували 9 231 гаманець та викрали цифрові активи орієнтовно на $4,1 млн. Аналіз транзакцій у блокчейні показав: приватні ключі з уражених гаманців були скомпрометовані або злиті, що дозволило нападникам підписувати та виконувати несанкціоновані транзакції. Це був один із наймасштабніших інцидентів безпеки в екосистемі Solana, який вплинув на багатьох користувачів мобільних застосунків Slope Wallet для iOS та Android.

Технічний аналіз

Під час спільного розслідування розробників, аналітичних компаній і аудиторів безпеки встановили: уражені адреси гаманців були створені, імпортовані або використовувалися у застосунках Slope Wallet. Основна причина — ненавмисна передача приватних ключів користувачів Slope Wallet до сервісу моніторингу застосунків. Точний механізм отримання чи перехоплення цих даних зловмисником залишався невідомим. Водночас підтверджено: у коді Solana Labs, Фонду Solana чи протоколі Solana уразливостей не виявлено. Це була не уразливість протоколу, а ізольований недолік безпеки конкретного постачальника Slope Wallet.

Інцидент зачепив не лише користувачів Solana. Частина користувачів програмних гаманців Phantom та Solflare також постраждала через повторне використання сид-фраз, згенерованих чи збережених у Slope Wallet. Оскільки Ethereum та Solana застосовують мнемоніки BIP39 для генерації сид-фраз, уразливими стали й гаманці Ethereum при повторному використанні сид-фраз на кількох блокчейнах. Натомість апаратні гаманці та будь-які гаманці, створені з сид-фраз, які не імпортувалися чи не використовувалися у Slope Wallet, залишились неушкодженими.

Кроки мінімізації наслідків

Користувачам, які застосовували Slope Wallet чи імпортували сид-фрази у додаток, рекомендували негайно вжити захисних заходів. Алгоритм дій для користувачів Slope Wallet складався з трьох кроків: спочатку слід створити нову сид-фразу в іншому надійному гаманці; далі — перевести всі цифрові активи, включаючи токени й NFT, з ураженого гаманця на новий; після цього повністю відмовитися від старої адреси через її компрометацію. Окремо наголошували: не слід повторно використовувати гаманці, створені на основі сид-фраз, які вже були використані у мобільних застосунках Slope Wallet, оскільки вони не є безпечними. Постачальник Slope Wallet пообіцяв співпрацювати з розробниками, експертами безпеки та іншими протоколами екосистеми для з’ясування масштабів інциденту й встановлення способу отримання приватних ключів зловмисником.

Висновок

Інцидент безпеки Slope Wallet був критичним порушенням, що стосувалося лише одного постачальника гаманців, а не протоколу загалом. Було викрадено майже $4,1 млн активів із понад 9 000 гаманців через компрометацію приватних ключів. Ситуація підкреслила важливість надійного управління ключами та ризики, пов’язані з імпортом сид-фраз у сторонні застосунки. Користувачам Slope Wallet рекомендували негайно захистити активи, створивши нові гаманці й перевівши на них кошти, а також уникати повторного використання скомпрометованих сид-фраз. Інцидент ще раз доводить: дотримання користувачами заходів безпеки є критично важливим, а вразливості гаманців не свідчать про недоліки протоколу блокчейна.

FAQ

Що таке Slope Wallet і як він працює?

Slope Wallet — мультичейновий DeFi-гаманець із підтримкою Solana, Ethereum і Binance Smart Chain. Він дає змогу керувати криптоактивами, працювати з DeFi-протоколами, торгувати NFT та взаємодіяти з різними децентралізованими застосунками через зрозумілий інтерфейс.

Чи має Solana гаманець?

Так, для Solana існують гаманці для зберігання та управління токенами SOL і активами на базі Solana. Через гаманці Solana можна надсилати, отримувати й торгувати SOL і токенами SPL.

Як налаштувати та користуватися Slope Wallet?

Завантажте застосунок Slope Wallet, створіть або імпортуйте акаунт, підключіться до потрібної блокчейн-мережі та керуйте своїми криптоактивами. Дотримуйтесь інструкцій застосунку для безпечного внесення, переказу або торгівлі токенами.

Наскільки безпечний Slope Wallet і які існують ризики?

Slope Wallet забезпечує зручність, однак має ризики безпеки, зокрема загрози злому й вразливості. Користувачам слід використовувати надійні паролі, активувати захисні функції та бути уважними з приватними ключами для мінімізації ризиків.