Liminal macht WazirX für den Juli-Hack verantwortlich und sagt, dass die Benutzeroberfläche nicht dafür verantwortlich sei

Der Multiparty-Computing-Wallet-Anbieter (MPC) Liminal veröffentlichte am 19. Juli einen Post-Mortem-Bericht über den WazirX-Hack vom 18. Juli und behauptete, dass seine Benutzeroberfläche beschädigt sei

Multiparty computation (MPC) technology provider Liminal has released a July 19 post-mortem report on the July 18 WazirX hack, disputing the exchange’s claim that its user interface was responsible for the attack.

Liminal, Anbieter von Multiparty-Computing-Technologie (MPC), hat am 19. Juli einen Post-Mortem-Bericht über den WazirX-Hack vom 18. Juli veröffentlicht und die Behauptung der Börse bestritten, dass ihre Benutzeroberfläche für den Angriff verantwortlich sei.

According to Liminal's report, the hack occurred because three WazirX devices were compromised. The devices were used to initiate transactions that were then modified by the attacker before being sent to Liminal's servers for approval.

Dem Bericht von Liminal zufolge erfolgte der Hack, weil drei WazirX-Geräte kompromittiert wurden. Die Geräte wurden verwendet, um Transaktionen zu initiieren, die dann vom Angreifer geändert wurden, bevor sie zur Genehmigung an die Server von Liminal gesendet wurden.

Liminal also claimed that its multisignature wallet was set up to provide a fourth signature if WazirX provided the other three. This meant that the attacker only needed to compromise three devices to perform the attack. The wallet was set up this way at the behest of WazirX, the wallet provider claimed.

Liminal behauptete außerdem, dass sein Multisignatur-Wallet darauf ausgelegt sei, eine vierte Signatur bereitzustellen, wenn WazirX die anderen drei bereitstellte. Dies bedeutete, dass der Angreifer nur drei Geräte kompromittieren musste, um den Angriff durchzuführen. Der Wallet-Anbieter behauptete, das Wallet sei auf Geheiß von WazirX auf diese Weise eingerichtet worden.

In a July 18 social media post, WazirX claimed that its private keys were secured with hardware wallets. However, WazirX said the attack “stemmed from a discrepancy between the data displayed on Liminal’s interface and the transaction’s actual contents.”

In einem Social-Media-Beitrag vom 18. Juli behauptete WazirX, dass seine privaten Schlüssel mit Hardware-Wallets gesichert seien. Allerdings sagte WazirX, dass der Angriff „auf eine Diskrepanz zwischen den auf der Benutzeroberfläche von Liminal angezeigten Daten und dem tatsächlichen Inhalt der Transaktion zurückzuführen sei.“

According to the Liminal report, one of WazirX’s devices initiated a valid transaction involving the Gala Games (GALA) token. In response, Liminal’s server provided a “safeTxHash,” verifying the transaction's validity. However, the attacker then replaced this transaction hash with an invalid one, causing the transaction to fail.

Dem Liminal-Bericht zufolge hat eines der Geräte von WazirX eine gültige Transaktion mit dem Gala Games (GALA)-Token initiiert. Als Antwort stellte der Server von Liminal einen „safeTxHash“ bereit, der die Gültigkeit der Transaktion überprüfte. Anschließend ersetzte der Angreifer diesen Transaktions-Hash jedoch durch einen ungültigen, wodurch die Transaktion fehlschlug.

In Liminal’s view, the fact that the attacker was able to change this hash implies that the WazirX device had already been compromised before the transaction was attempted.

Nach Ansicht von Liminal deutet die Tatsache, dass der Angreifer diesen Hash ändern konnte, darauf hin, dass das WazirX-Gerät bereits kompromittiert worden war, bevor die Transaktion versucht wurde.

The attacker then initiated an additional two transactions: one GALA and one Tether (USDT) transfer. In each of these three transactions, the attacker used a different WazirX admin account, for a total of three accounts used. All three of the transactions failed.

Anschließend initiierte der Angreifer zwei weitere Transaktionen: eine GALA- und eine Tether-Übertragung (USDT). Bei jeder dieser drei Transaktionen verwendete der Angreifer ein anderes WazirX-Administratorkonto, sodass insgesamt drei Konten verwendet wurden. Alle drei Transaktionen scheiterten.

After initiating these three failed transactions, the attacker extracted signatures from the transactions and used them to initiate a new, fourth transaction. The fourth transaction “was crafted in such a way that the fields used to verify policies were using legit transaction details” and “used the Nonce from the failed USDT transaction because that was the latest transaction.”

Nachdem der Angreifer diese drei fehlgeschlagenen Transaktionen initiiert hatte, extrahierte er Signaturen aus den Transaktionen und nutzte sie, um eine neue, vierte Transaktion zu initiieren. Die vierte Transaktion „wurde so gestaltet, dass die zur Überprüfung der Richtlinien verwendeten Felder legitime Transaktionsdetails verwendeten“ und „die Nonce der fehlgeschlagenen USDT-Transaktion verwendete, da dies die letzte Transaktion war.“

Because it used these “legit transaction details,” the Liminal server approved the transaction and provided a fourth signature. As a result, the transaction was confirmed on the Ethereum network, resulting in a transfer of funds from the joint multisig wallet to the attacker’s Ethereum account.

Da diese „legitimen Transaktionsdetails“ verwendet wurden, genehmigte der Liminal-Server die Transaktion und stellte eine vierte Signatur bereit. Infolgedessen wurde die Transaktion im Ethereum-Netzwerk bestätigt, was zu einer Überweisung von Geldern von der gemeinsamen Multisig-Wallet auf das Ethereum-Konto des Angreifers führte.

Liminal denied that its servers caused incorrect information to be displayed through the Liminal UI. Instead, it claimed that the incorrect information was provided by the attacker, who had compromised WazirX computers. In an answer to the posed question “How did the UI show a different value from the actual payload within the transaction?” Liminal said:

Liminal bestritt, dass seine Server die Anzeige falscher Informationen über die Liminal-Benutzeroberfläche verursacht hätten. Stattdessen wurde behauptet, dass die falschen Informationen vom Angreifer bereitgestellt worden seien, der WazirX-Computer kompromittiert habe. In einer Antwort auf die gestellte Frage „Wie hat die Benutzeroberfläche einen anderen Wert als die tatsächliche Nutzlast innerhalb der Transaktion angezeigt?“ Liminal sagte:

Liminal also claimed that its servers were programmed to automatically provide a fourth signature if WazirX admins provided the other three. “Liminal only provides the final signature once the required number of valid signatures are received from the client’s side,” it stated, adding that in this case, “the transaction was authorised and signed by three of our client’s employees.”

Liminal behauptete außerdem, dass seine Server so programmiert seien, dass sie automatisch eine vierte Signatur bereitstellten, wenn WazirX-Administratoren die anderen drei bereitstellten. „Liminal leistet die endgültige Unterschrift erst, wenn die erforderliche Anzahl gültiger Unterschriften vom Kunden eingegangen ist“, heißt es darin und fügt hinzu, dass in diesem Fall „die Transaktion von drei Mitarbeitern unseres Kunden autorisiert und unterzeichnet wurde.“

The multisig wallet “was deployed by WazirX as per their configuration well before onboarding with Liminal,” and was “imported” into Liminal “per WazirX's request.”

Die Multisig-Wallet „wurde von WazirX gemäß ihrer Konfiguration lange vor dem Onboarding mit Liminal bereitgestellt“ und „auf Wunsch von WazirX“ in Liminal „importiert“.

Related: WazirX breach post-mortem: Dismantling the $230M attack

Verwandt: WazirX-Verletzung nachträglich: Beseitigung des 230-Millionen-Dollar-Angriffs

WazirX’s post claimed that it had implemented “robust security features.” For example, it had required that all transactions be confirmed by four out of five keyholders. Four of these keys belonged to WazirX employees and one to the Liminal team. In addition, it required three of the WazirX keyholders to use hardware wallets. All destination addresses were required to be added to a whitelist ahead of time, WazirX stated, which was “earmarked and facilitated on the interface by Liminal.”

In dem Beitrag von WazirX wurde behauptet, dass das Unternehmen „robuste Sicherheitsfunktionen“ implementiert habe. Beispielsweise war es erforderlich, dass alle Transaktionen von vier von fünf Schlüsselinhabern bestätigt werden. Vier dieser Schlüssel gehörten WazirX-Mitarbeitern und einer dem Liminal-Team. Darüber hinaus mussten drei der WazirX-Schlüsselinhaber Hardware-Wallets verwenden. Alle Zieladressen mussten vorab zu einer Whitelist hinzugefügt werden, erklärte WazirX, was „von Liminal auf der Schnittstelle vorgesehen und erleichtert“ wurde.

Despite taking all of these precautions, the attacker “appear[s] to have possibly breached such security features, and the theft occurred.” WazirX called the attack a “a force majeure event beyond [its] control.” Even so, it vowed that it was “leaving no stone unturned to locate and recover the funds.”

Trotz aller dieser Vorsichtsmaßnahmen scheint der Angreifer „möglicherweise solche Sicherheitsmerkmale verletzt zu haben, und es kam zu einem Diebstahl“. WazirX bezeichnete den Angriff als „ein Ereignis höherer Gewalt, das außerhalb seiner Kontrolle liegt“. Dennoch versprach das Unternehmen, dass es „nichts unversucht lasse, um die Gelder ausfindig zu machen und zurückzugewinnen“.

An estimated $235 million was lost in the WazirX attack. It was the largest centralized exchange hack since the DMM exploit of May 31, which resulted in even greater losses of $305 million.

Durch den WazirX-Angriff gingen schätzungsweise 235 Millionen US-Dollar verloren. Es handelte sich um den größten zentralisierten Exchange-Hack seit dem DMM-Exploit vom 31. Mai, der zu noch größeren Verlusten von 305 Millionen US-Dollar führte.

Magazine: WazirX hackers prepped 8 days before attack, swindlers fake fiat for USDT: Asia Express

Magazin: WazirX-Hacker bereiteten sich 8 Tage vor dem Angriff vor, Betrüger fälschten Fiat-Währung für USDT: Asia Express