A empresa de segurança Web3 GoPlus Security relatou que o novo protocolo de camada cruzada x402bridge sofreu uma vulnerabilidade de segurança, resultando na perda de mais de 200 usuários de USDC, totalizando cerca de 17.693 dólares. Detetives na cadeia e a empresa de segurança SlowMist confirmaram que a vulnerabilidade provavelmente foi causada pela divulgação da chave privada do administrador, permitindo que os atacantes obtivessem permissões especiais de gerenciamento do contrato. A GoPlus Security recomendou urgentemente que todos os usuários com carteiras nesse protocolo cancelassem as autorizações em andamento e lembrou os usuários a nunca concederem autorizações ilimitadas ao contrato. Este incidente expôs os riscos de segurança potenciais no mecanismo x402, onde a chave privada armazenada no servidor pode levar à divulgação das permissões do administrador.
Novo protocolo x402bridge atacado: autorização excessiva expõe vulnerabilidades de segurança da chave privada
O protocolo x402bridge, alguns dias após ser lançado na cadeia, sofreu um ataque de segurança, resultando em perdas financeiras para os usuários. O mecanismo deste protocolo exige que os usuários sejam autorizados pelo contrato Owner antes de poderem cunhar USDC. Neste evento, foi essa autorização excessiva que levou à transferência de stablecoins remanescentes de mais de 200 usuários.
O atacante utilizou a chave privada vazada para roubar USDC dos usuários
De acordo com a observação da GoPlus Security, o fluxo de ataque aponta claramente para o abuso de permissões:
- Transferência de permissões: O endereço do criador (0xed1A começou ) transferiu a propriedade para o endereço 0x2b8F, concedendo a este último permissões de gestão especiais detidas pela equipe x402bridge, incluindo a capacidade de modificar configurações críticas e transferir ativos.
- Execução de funcionalidades maliciosas: Após obter o controle, o novo endereço do proprietário executou imediatamente uma função chamada “transferUserToken”, permitindo que esse endereço retirasse os USD Coins restantes de todas as carteiras anteriormente autorizadas a esse contrato.
- Perda e transferência de fundos: O endereço 0x2b8F roubou um total de aproximadamente 17,693 USD em USDC dos usuários, e em seguida trocou o dinheiro roubado por Ethereum, transferindo-o para a rede Arbitrum através de várias transações cross-chain.
Fonte da vulnerabilidade: Risco de armazenamento da chave privada no mecanismo x402
A equipe do x402bridge respondeu ao incidente de vulnerabilidade, confirmando que o ataque foi causado por uma Chave privada vazada, resultando no roubo de vários testes de equipes e Carteiras principais. O projeto suspendeu todas as atividades e fechou o site, e já reportou às autoridades.
- Risco do processo de autorização: O protocolo anteriormente explicou o funcionamento do seu mecanismo x402: os usuários assinam ou aprovam transações através da interface da web, as informações de autorização são enviadas para o servidor backend, que posteriormente retira os fundos e cunha os tokens.
- Risco de exposição da chave privada: A equipe admitiu: “Quando lançamos no x402scan.com, precisamos armazenar a chave privada no servidor para chamar os métodos do contrato.” Este passo pode levar à exposição da chave privada do administrador durante a fase de conexão à Internet, resultando em vazamento de permissões. Uma vez que a chave privada é roubada, os hackers podem assumir todas as permissões do administrador e redistribuir os fundos dos usuários.
Nos dias que antecederam o ataque, o uso do x402 teve um aumento repentino. No dia 27 de outubro, a capitalização de mercado do token x402 ultrapassou pela primeira vez os 800 milhões de dólares, e o volume de transações do protocolo x402 nas principais CEX atingiu 500 mil transações em uma semana, com um crescimento de 10,780% em relação ao período anterior.
Sugestões de segurança: GoPlus apela aos usuários para revogar a autorização imediatamente
Dada a gravidade da fuga de informações, a GoPlus Security recomenda urgentemente que os usuários que possuem Carteiras neste protocolo cancelem imediatamente quaisquer autorizações em andamento. A empresa de segurança também alerta todos os usuários:
- Verifique o endereço: Antes de aprovar qualquer transferência, verifique se o endereço autorizado é o endereço oficial do projeto.
- Limitar o montante autorizado: apenas autorizar o montante necessário, nunca conceder autorização ilimitada ao contrato.
- Verificação regular: Verifique regularmente e revogue autorizações desnecessárias.
Conclusão
O incidente de ataque de vazamento de chave privada ao x402bridge soou mais uma vez o alarme sobre os riscos que componentes centralizados (como servidores que armazenam chaves privadas) trazem para o espaço Web3. Embora o protocolo x402 tenha como objetivo utilizar o código de status HTTP 402 Payment Required para realizar pagamentos de stablecoins instantâneos e programáveis, as vulnerabilidades de segurança em seu mecanismo de implementação precisam ser corrigidas imediatamente. Para os usuários, este ataque foi uma lição cara, lembrando-nos que, ao interagir com qualquer protocolo de blockchain, devemos sempre manter a vigilância e gerenciar com cautela a autorização da carteira.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
Circle Nanopayments implementado: cão robô usa autonomamente USDC para recarregar
Circle Nanopayments lançado na rede de testes pela Circle, projetado para suportar transações de USDC de valores extremamente baixos, resolve o dilema duplo dos sistemas de pagamento tradicionais e das taxas de Gas na blockchain. O sistema utiliza agregação off-chain e liquidação em lote na cadeia, permitindo aos desenvolvedores microtransações sem taxas de Gas. O primeiro caso real foi um cão robô autónomo que realizou uma transação de carregamento através deste sistema, demonstrando a viabilidade da economia de agentes.
MarketWhisper37m atrás
O preço das ações da Circle atinge uma nova máxima! Bernstein: mantém o objetivo de 190 dólares e "supera o mercado"
O preço das ações do emissor de stablecoins Circle (CRCL) apresentou recentemente uma forte valorização, encerrando a sessão em 118,17 dólares, com uma subida acumulada de 49% no ano. Bernstein reafirmou a classificação de compra e estabeleceu um preço-alvo de 190 dólares, principalmente com base na popularidade das stablecoins e na melhoria do ambiente regulatório. O USDC da Circle é a segunda maior stablecoin do mundo, beneficiando da confiança das instituições e da integração financeira, demonstrando uma desconexão do mercado de criptomoedas como um todo.
MarketWhisper49m atrás
Ranger Finance os detentores de tokens decidem por votação de governança a liquidação do projeto, devolvendo 5,04 milhões de USDC ao tesouro
Os detentores de tokens do projeto do ecossistema Solana, Ranger Finance, decidiram por votação na governança on-chain liquidar o projeto e recuperar os fundos. Essa decisão foi motivada por acusações de declarações falsas por parte da equipe, resultando na remoção de 5 milhões de USDC alocados aos detentores de tokens.
GateNews1h atrás
Bernstein mantém a classificação de "superar o mercado" para as ações da Circle, com um preço-alvo de 190 dólares, oferecendo uma potencial valorização de 60% em relação ao preço atual
O analista Bernstein mantém a classificação de "superar o mercado" para as ações do emissor do USDC, Circle, com um preço-alvo de 190 dólares, indicando que as stablecoins estão gradualmente se afastando do ciclo do mercado de criptomoedas. A oferta de USDC recuperou para 78 bilhões de dólares, sendo as aplicações de pagamento o principal motor. As stablecoins estão sendo integradas nas redes de pagamento tradicionais, e a "finança por procuração" impulsionada por IA pode se tornar um novo ponto de crescimento.
GateNews1h atrás
A Circle lançou a rede de testes de Nanopayments, suportando micropagamentos de USDC a partir de 0,000001 dólares.
Circle anuncia o lançamento da rede de testes Circle Nanopayments, que suporta transferências de USDC a partir de 0.000001 dólares e isenta de taxas Gas, com o objetivo de fornecer uma camada de pagamento para a economia Agent. Utilizando agregação de transações off-chain e liquidação on-chain com atraso, os desenvolvedores podem implementar diversos cenários de pagamento. A solução já está disponível em várias redes de teste.
GateNews2h atrás
Stablecoins ultrapassam os 313 bilhões de dólares: como o dólar digital está a remodelar o sistema financeiro global
A capitalização total do mercado de stablecoins ultrapassou os 313 mil milhões de dólares, tornando-se gradualmente uma infraestrutura fundamental do sistema financeiro global. O artigo analisa o rápido crescimento do mercado de stablecoins, a competição entre USDT e USDC, as suas aplicações extensas em negociação, pagamentos e DeFi, bem como o impacto macroeconómico no sistema do dólar e no mercado de títulos do governo, indicando uma tendência futura de aumento da participação de instituições, expansão do mercado e aprimoramento gradual da regulamentação.
PANews2h atrás
