Біржа dYdX опублікувала постмортем на втручання в обліковий запис Squarespace на суму 31 000 доларів США

Хасан Шітту

Останнє оновлення:

25 липня 2024 р., 23:35 за східноамериканським літнім часом | 2 хв читання

dYdX, видатна криптобіржа, оголосила 23 липня, що її веб-сайт версії 3.0 був скомпрометований.

Користувачам радять утриматися від відвідування сайту версії 3.0 або натискання будь-яких посилань до подальшого повідомлення. Однак команда запевнила користувачів, що версія 4.0 залишається непорушеною і працює нормально.

dYdX випустила детальний звіт про розбір помилок під час вторгнення в рахунок Squarespace, в якому описані події та їхні реакції. Біржа вирішила змінити реєстратори доменів і продовжує працювати з SEAL та іншими партнерами для запобігання подібним інцидентам у майбутньому.

Веб-сайт біржі dYdX скомпрометовано через соціально-інженерну атаку

Доменний реєстратор для (раніше Squarespace) підтвердив, що 23 липня рахунок dYdX Trading’s Squarespace був доступний для несанкціонованих осіб після успішної соціальної інженерії служби підтримки клієнтів Squarespace.

— dYdX (@dYdX) 25 липня 2024 року

Згідно з посмертним оглядом, порушення сталося після того, як несанкціоновані особи отримали доступ до Squarespace рахунку dYdX Trading через соціальний інжиніринговий атаку на підтримку клієнтів Squarespace.

Під час двогодинного захоплення домену біржі два користувачі втратили кошти на суму приблизно 31000 доларів. Торгова платформа dYdX знаходиться в контакті з постраждалими користувачами, щоб забезпечити їх компенсацію.

У 2023 році Squarespace придбав всі домени від тепер знефункціонованої Google Domains, перенесені їх протягом кількох місяців. Домен dydx.exchange, що належить dYdX Trading, був перенесений на Squarespace 15 червня 2024 року.

9 липня зловмисники отримали доступ до домену dydx.exchange та змінили DNS-сервери з Cloudflare на DDoS-Guard.

цей початковий напад було зменшено налаштуваннями dnssec, які запобігли користувачам отримати доступ до компрометованого сайту. dydx швидко вирішило проблему шляхом зміни пароля та двофакторної аутентифікації (2fa).

Після повідомлень про аналогічні атаки на крипто-специфічні домени команда SEAL, спрямована на забезпечення безпеки в області криптовалют, започаткувала розслідування. Було виявлено, що була використана помилка OAuth на Squarespace, яку Squarespace виправив 12 липня.

Незважаючи на це, домен dydx.exchange знову був скомпрометований 23 липня. Злочинці вдалося змінити DNS-сервери та видалити налаштування DNSSEC, розмістивши зловмисний сайт, який обманював користувачів, щоб вони переказували Ethereum та токени ERC20.

Протягом цього періоду dYdX співпрацював з SEAL та іншими партнерами, щоб заблокувати зловмисні сайти на популярних криптовалютних гаманцях, таких як Metamask та Phantom. Незважаючи на ці зусилля, під час атаки два користувачі втратили $31,000.

Біржа dYdX відновлює веб-сайт після взлому облікового запису Squarespace

Будь ласка, дивіться повний пост-мортем нижче.

— dYdX (@dYdX) 25 липня 2024 року

В результаті постмортем виявлено, що зловмисник встановив електронну пошту адміністратора домену на адресу зі закінченням outlook.com з ім’ям користувача, схожим на юридичне ім’я адміністратора рахунку dYdX. Це свідчить про атаку соціального інженерінгу, оскільки зловмисник використав вірогідну електронну адресу.

За даними dYdX, його спілкування з Squarespace показало, що під час процесу відновлення рахунку сталася помилка людини.

Зловмисник обійшов 2FA та змінив електронну пошту рахунку без надання дійсних облікових даних безпеки. Команда служби підтримки Squarespace не намагалася зв’язатися з іншими перерахованими адміністраторами домену перед здійсненням цих змін.

У відповідь на напад, dYdX перенесла реєстрацію домену на Cloudflare, щоб підвищити безпеку. Перенесення було прискорено і завершено протягом шести годин.

dYdX підтвердив, що не було проблем з безпекою його смартконтрактів, бекендів або ланцюжка dYdX внаслідок інцидентів.

веб-сайт відновлено компанією dYdX Trading Inc. 🙏

Зверніть увагу, що ваша машина все ще може кешувати компрометований сайт.

Переконайтеся, що перед підключенням до веб-сайту очистили кеш та перезапустили браузер.

• dYdX (@dYdX) 23 липня 2024 року

Команда dYdX заявила у соцмережі X, що радить користувачам очистити кеш браузера та перезапустити браузер перед повторним підключенням до веб-сайту, щоб забезпечити, що вони не отримують доступ до компрометованого сайту.

Підписатися на наш канал в Google News