CrediX osui 4,5 miljoonan dollarin hakkerointiin, hyökkääjä yhdistää varoja Ethereumiin

DeFi-projekti CrediX on tiettävästi hakkeroitu, ja tappioiden arvioidaan olevan 4,5 miljoonaa dollaria. Tapaus näyttää olevan seurausta yksityisen avaimen vaarantumisesta, jonka avulla hyökkääjä pääsi luvattomaan pääsyyn järjestelmään.

CrediX osui verkkojen väliseen hyväksikäyttöön

Turvallisuustoimenpiteenä CrediX on ottanut verkkosivustonsa offline-tilaan estääkseen uusien käyttäjien talletukset. Tietoturvayritys CertiK raportoi, että varastetut varat siirrettiin Sonic-verkosta Ethereumiin. Toistaiseksi hyökkääjän lompakossa on edelleen varastettua omaisuutta, eikä liikettä ole enää tapahtunut.

Web3-tietoturvayritys Cyvers Alerts ilmoitti myös useista epäilyttävistä tapahtumista Sonic-verkossa, joihin liittyi CrediX. Heidän mukaansa Ethereumin Tornado Cashin kautta rahoitettu osoite yhdisti varoja Sonicille ja lainasi sitten noin 2,64 miljoonaa dollaria CrediX:ltä.

Pääsyvirhe antaa hyökkääjän tyhjentää CrediX-poolin

Ketjun tietoturvayritys SlowMist huomauttaa, että kuusi päivää ennen hyväksikäytön havaitsemista hyökkääjä lisättiin sekä järjestelmänvalvojaksi että siltaksi CrediX Multisig Walletiin ACLManagerin avulla. Bridge-tason oikeuksilla hyökkääjä sai suoran pääsyn lyödä vakuustokeneita CrediX Poolin kautta.

Juuri lyötyjen tokenien avulla he pystyivät lainaamaan suuren määrän omaisuutta protokollasta, mikä lopulta tyhjensi poolin. Tämä osoittaa, kuinka riskialtista se voi olla, kun käyttöoikeuksia ja rooleja ei hallita oikein multisig-asetuksissa, ja korostaa, kuinka kriittistä hallinnon tietoturva on DeFi-järjestelmissä.

CrediX on vakuuttanut käyttäjille, että kaikki varat saadaan kokonaan takaisin 24–48 tunnin kuluessa.

Hackenin raportin mukaan kryptotappiot nousivat 3,1 miljardiin dollariin vuoden 2025 ensimmäisellä puoliskolla, ja suurin osa siitä johtui multisig-lompakon epäonnistumisista. Näitä lompakoita hyödynnettiin usein väärennettyjen käyttöliittymien ja huonon allekirjoittajien hallinnan kautta.

Vahingollisin hyökkäys oli 1,46 miljardin dollarin Bybit-hakkerointi, jossa allekirjoittajia huijattiin väärennetyllä käyttöliittymällä.

Hacken kehottaa reaaliaikaiseen Multisig-tietoturvaan

Yli 80 % kaikista kryptotappioista tänä vuonna johtui kulunvalvontavirheistä. Hacken suosittelee nyt, että projektit siirtyvät pois kertaluonteisista auditoinneista ja ottavat käyttöön reaaliaikaiset, tekoälypohjaiset turvajärjestelmät. Nämä työkalut voivat seurata multisig-lompakon toimintaa, havaita epänormaalia käyttäytymistä ja tarjota nopeampia vasteaikoja.

Hacken neuvoo myös, että tiimit kohtelevat allekirjoittajia ja käyttöliittymiä turvajärjestelmän keskeisinä elementteinä, eivät vain teknisinä ominaisuuksina. Parannettu koulutus, tiukempi automaatio ja tiukemmat säännöt ovat välttämättömiä, jos DeFi-alustat haluavat välttää vastaavia hyökkäyksiä tulevaisuudessa.

Usein kysytyt kysymykset