Криптография в блокчейне | Взлом ByBit: что под капотом?

Анализ взлома Bybit: хронология атаки Lazarus Group на кастодиальные кошельки, уязвимости в инфраструктуре Safe, механизмы атак (delegatecall, proxy, браузерные инъекции), последствия для биржи, возврат части средств и выводы по усилению безопасности (собственный UI, задержки исполнения, watchdog-системы).

Спикер: Андрей Тукманов, независимый эксперт

Transcript

1. BYBIT HACK
 под капотом
2. АНДРЕЙ ТУКМАНОВ Кастодиальные решения для крипты
3. кастодиальный кошелек для социальной сети Вконтакте VKNFT Видео доклада об архитектуре контрактов 3
4. ВЗЛОМ BYBIT 4 21 февраля с холодного кошелька биржи bybit была выведена криптовалюта на сумму 1.48B USD
5. LAZARUS AKA Hidden Cobra, Zinc, Guardians of Peace, APT38, Bureau 12
 В борьбе за дело чучхе с 2007 года 5
6. 1. Ronin Bridge $615M 
 март 2022, 137K WETH + 25M USDC
 5 из 9 взломано, 4 - Sky Mavis, 1 - Axie DAO 2. Harmony Horizon Bridge $100M
 июнь 2022, мультиподпись 2 из 5 3. Atomic Wallet $35-100M
 июнь 2024, некастодиальный кошелек 6
7. 7 SAFE 100B USD на контрактах 100M USD инвестиций
8. ЧТО ВЗЛОМАЛИ? 8
9. КАК ВЗЛОМАЛИ? Официальный postmortem safe 9 04.02 разработчик Safe запускает докер образ 05.02 хакер делает попытку доступа к AWS 17.02 получает доступ к AWS 19.02 злонамеренный js код на сайте Safe 21.02 14:13 взлом 21.02 14:15 злонамеренный код удален
10. А КОНТРАКТ? 10
11. call 1. Вызов одним контрактом другого
 кошелек вызывает контракт токена для перевода 2. Перевод ETH на EOA или контракт
 количество указано в value 11
12. delegatecall 1. Код выполняется в контексте вызвавшего 2. Доступ к состоянию, средствам 3. call от адреса контракта 12
13. proxy хранит адрес контракта с логикой и вызывает его при каждом запросе - дешевле деплой - возможность обновления 13
14. 14 В браузере
15. 15 ПОДПИСАЛ
 НЕ ГЛЯДЯ
16. В METAMASK 16 Подробный разбор с ссылками на транзакции
17. В аппаратном кошельке 17 Как выглядят транзакции в аппартных кошельках
18. EIP712 для маленьких* Инструкция по проверке от Safe 18 DomainHash - структура DataHash - данные Онлайн утилиты OpenZeppelin или bash скрипты * экранов
19. ERC-7730 сlear Signing 19 Документация Ledger
20. ПОСЛЕДСТВИЯ май, 2025
21. 21 УКРАЛИ Использование шаблонов слайдов необязательно, 
 но приветствуется • 404K ETH 0.33% • 91K stETH 1% • 8K mETH 2.2% • 15K cmETH 3.5%
22. 22 ЗАМОРОЖЕНО Использование шаблонов слайдов необязательно, 
 но приветствуется Протокол ликвидного рестейкинга Mantle заморозил 15K cmETH (42-43M USD) Адрес атакующего был добавлен в блэклист, средства возвращены
23. 23 Много ли это для bybit? Резервы 10B USD Объем за сутки 2.7B Как Coinbase или Okex, 20% Binance похищено 445 000 ETH на сумму 1.48B Обеспечение восстановлено за 72 часа
 В апреле закрыты многие сервисы: кошельки, NFT маркетплейс, DeFi
24. eXch платформа для автоматического обмена 24 • Объявляет о закрытии
 18 апреля с 1 мая • Активы арестованы
 9 мая €34 млн
25. ВЫВОДЫ май, 2025
26. Что сделать с 500K ETH? 1. Атака на стейкинг 2. Манипуляция ценой активов в AMM 3. Атака на оракулы 26
27. Как избежать взлома? 1. Уменьшить поверхность атаки 2. Дополнительные проверки
 собственный UI и робот-watchdog 3. Задержка исполнения 27
28. СПАСИБО ЗА ВНИМАНИЕ!
 ЕСТЬ ВОПРОСЫ? Андрей Тукманов https://bit.ly/m/ne_medved