Mae'r Byg A Diffoddodd Wintermute Yn Dal yn Fry

Cadarnhaodd cwmni seilwaith diogelwch Blockchain BlockSec ar Twitter bod cyfeiriad cyfunwr cyfnewid datganoledig ParaSwap yn agored i'r hyn a adwaenir fel bregusrwydd Profanity.

ParaSwap oedd gyntaf rhybuddio o'r bregusrwydd yn gynnar fore Mawrth ar ôl i dîm diogelwch ecosystem Web3 Supremacy Inc. ddysgu bod cyfeiriad y defnyddiwr yn gysylltiedig â waledi aml-lofnod lluosog.

Roedd cabledd unwaith yn un o'r offer mwyaf poblogaidd a ddefnyddiwyd i gynhyrchu cyfeiriadau waledi, ond rhoddwyd y gorau i'r prosiect oherwydd diffygion diogelwch sylfaenol. 

Yn fwyaf diweddar, gosodwyd gwneuthurwr marchnad crypto byd-eang Wintermute yn ôl $ 160 miliwn oherwydd byg Profanity a amheuir.

Dywedodd datblygwr Supremacy Inc., Zach - na roddodd ei enw olaf - wrth Blockworks fod cyfeiriadau a gynhyrchir gan Profanity yn agored i haciau oherwydd ei fod yn defnyddio rhifau hap gwan i gynhyrchu allweddi preifat.

“Os yw’r cyfeiriadau hyn yn cychwyn trafodion ar y gadwyn, gall ecsbloetwyr adennill eu allweddi cyhoeddus trwy drafodion ac yna cael yr allweddi preifat trwy wrthdrawiadau ôl-yrru yn barhaus ar yr allweddi cyhoeddus,” meddai Zach wrth Blockworks trwy Telegram ddydd Mawrth.

“Mae yna un a dim ond un ateb [i’r broblem yma], sef trosglwyddo’r asedau a newid cyfeiriad y waled ar unwaith,” meddai.

Ar ôl ymchwilio i'r digwyddiad, dywedodd ParaSwap na ddaethpwyd o hyd i unrhyw wendidau a gwadodd fod Profanity wedi creu ei ddefnyddiwr.

Er ei bod yn wir na chynhyrchodd Profanity y cyflogwr, dywedodd cyd-sylfaenydd BlockSec, Andy Zhou, wrth Blockworks fod yr offeryn a gynhyrchodd gontract smart ParaSwap yn dal i fod mewn perygl o fod yn agored i niwed Profanity.

“Doedden nhw ddim yn sylweddoli eu bod yn defnyddio teclyn bregus i gynhyrchu’r cyfeiriad,” meddai Zhou. “Nid oedd gan yr offeryn ddigon o hap a oedd yn ei gwneud hi’n bosibl cracio’r cyfeiriad allwedd preifat.”

Mae gwybodaeth am y bregusrwydd hefyd wedi gallu helpu BlockSec i adennill arian. Roedd hyn yn wir ar gyfer protocolau DeFi BabySwap a TransitSwap, yr ymosodwyd arnynt ill dau ar Hydref 1.

“Roeddem yn gallu adalw’r arian a’u dychwelyd i’r protocolau,” meddai Zhou.

Ar ôl sylwi bod rhai trafodion ymosodiad wedi cael eu rhedeg yn y blaen gan bot a oedd yn agored i fregusrwydd Profanity, roedd datblygwyr BlockSec yn gallu dwyn oddi wrth y lladron yn effeithiol.

Er gwaethaf ei boblogrwydd fel arf effeithlon ar gyfer cynhyrchu cyfeiriadau, datblygwr Profanity rhybuddiwyd ar Github bod diogelwch waled yn hollbwysig. “Ni fydd y cod yn derbyn unrhyw ddiweddariadau, ac rydw i wedi ei adael mewn cyflwr na ellir ei gasglu,” ysgrifennodd y datblygwr. “Defnyddiwch rywbeth arall!”

amseroedd aros DAS: LLUNDAIN a chlywed sut mae'r sefydliadau TradFi a crypto mwyaf yn gweld dyfodol mabwysiad sefydliadol crypto. Cofrestrwch ewch yma.