Iota ha delineato un piano per riattivare la rete dopo 20 giorni offline
Da oltre due settimane, la rete Iota ha stato giù, con i titolari di token MIOTA che non sono stati in grado di facilitare alcuna transazione dal 12 febbraio. Questo perché un hacker è stato in grado di farcela con oltre $ 2 milioni dal portafoglio Trinity nativo di Iota, facendo sì che il progetto perdere circa il 40% del suo valore – che è stato propagandato per un valore di quasi $ 400 milioni – da quando la rete è stata disattivata.
La Iota Foundation ha minimizzato la gravità dell’hacking, ma una serie di indicatori suggerisce che potrebbero essere stati compromessi molti più portafogli rispetto a quanto annunciato dalla Iota Foundation. E sebbene i fondi possano essere stati rubati solo da un numero limitato di portafogli, la vulnerabilità in questione è probabilmente esistita per un lungo periodo di tempo. È anche possibile che l’hacker sia stato in grado di ottenere i seed del portafoglio da tutti coloro che hanno utilizzato il portafoglio desktop Trinity mentre la vulnerabilità era attiva.
In risposta, Cara Harbour, direttore delle comunicazioni per la Iota Foundation, ha detto a Cointelegraph che l’azienda sta prendendo molto sul serio questo incidente e che un team dedicato sta lavorando 24 ore su 24 per identificare il problema e trovare una soluzione il prima possibile. Lei ha aggiunto:
“La vulnerabilità a portata di mano era solo all’interno del portafoglio Trinity Desktop ed era effettivamente causata dall’integrazione Moonpay. Non c’è vulnerabilità nello IOTA stesso o nel protocollo. Sebbene sia un evento sfortunato, le azioni della Fondazione Iota dimostrano che siamo seri riguardo al progetto e ai suoi utenti “.
Come è andata giù?
Per ottenere una migliore comprensione della situazione, Cointelegraph ha parlato con Casper Niebe, uno sviluppatore di Obyte, una piattaforma a grafi aciclici diretti, che ritiene che la sequenza temporale per l’hack molto probabilmente fosse questa:
Innanzitutto, quando il plug-in MoonPay è stato incluso per la prima volta nella versione beta di Trinity, non è stato rilevato alcun gioco scorretto. Il plug-in è stato quindi incluso nella versione non beta, consentendo all’hacker di iniziare a raccogliere parole seme da coloro che utilizzano il portafoglio compromesso.
Quindi, le persone a MoonPay notano che qualcosa non va e hanno disattivato la loro chiave API, ma non sono riuscite a notificare la Iota Foundation. A questo punto, l’hacker ha iniziato a svuotare i portafogli con grossi saldi utilizzando i semi del portafoglio raccolti mentre i portafogli erano esposti. Iota ha notato e chiuso il coordinatore, il che ha impedito la conferma di ulteriori transazioni.
Secondo Niebe, l’aggressore è stato in grado di iniettare il proprio codice nel plug-in MoonPay. È probabile che il codice dannoso abbia catturato i seed del portafoglio dalla piattaforma e li abbia inviati all’attaccante.
Inoltre, il plug-in MoonPay includeva una libreria di un operatore di terze parti e invece di aspettare una versione che avrebbe consentito agli sviluppatori del portafoglio Trinity di sapere esattamente con cosa stavano lavorando, l’integrazione / rilascio del plug -in era apparentemente affrettato, secondo a un post del blog Iota.
Pertanto, poiché l’exploit è stato probabilmente attivo per un periodo di tempo prolungato, l’attaccante è stato in grado di ottenere molti più seed del portafoglio rispetto a quelli utilizzati per rubare effettivamente i token. Vale anche la pena ricordare che MoonPay era apparentemente inconsapevole del problema prima che si presentasse effettivamente.
Esprimendo i suoi pensieri sull’argomento, Harbour ha affermato che l’evento di cui sopra ha dimostrato al team di Iota che devono prendere la loro sicurezza, specialmente per quanto riguarda i fornitori di terze parti, estremamente sul serio. Ha inoltre affermato:
“Prendiamo molto seriamente questo incidente di attacco e non abbiamo minimizzato in alcun modo l’effetto che ha avuto sulla nostra comunità. Le azioni e la trasparenza intraprese dalla Iota Foundation ne sono una testimonianza “.
Il furto sembra essere stato piuttosto sofisticato nel design
Si ritiene che la suddetta violazione richiedesse al malintenzionato di possedere una certa abilità tecnica nella scrittura del codice, poiché l’attacco non era di natura banale. A questo proposito, la Iota Foundation ha rilevato diverse iterazioni del codice iniettato durante la sua indagine, il che ha sostanzialmente suggerito che l’hacker ha utilizzato una modalità di funzionamento “prova ed errore”.
Da un punto di vista più tecnico, le prove sembrano suggerire che l’hacker ha iniziato a rubare manualmente i token dai portafogli compromessi dopo che MoonPay ha corretto la vulnerabilità. L’aggressore ha spostato fondi da un numero molto limitato di portafogli attraverso diversi altri portafogli.
Ogni volta che l’importo rubato è passato attraverso un portafoglio, 28 GigaIOTA (cioè 28.000 token MIOTA) – del valore di circa $ 9.000 all’epoca – sono stati lasciati in ogni portafoglio. Questo importo è stato probabilmente scelto perché era abbastanza piccolo da sfuggire alle misure di sicurezza automatiche degli scambi. Ma la velocità con cui i fondi sono stati trasferiti da un portafoglio all’altro variava tra 10 e 20 minuti. Se le transazioni fossero state effettuate da uno script automatizzato scritto dall’aggressore, l’intero processo avrebbe potuto essere completato molto più velocemente e sicuramente con meno intervalli variabili tra i trasferimenti. Niebe ha sottolineato:
“Una delle principali indicazioni del fatto che i fondi rubati sono stati spostati manualmente è la quantità di 28 GigaIOTA lasciati in ogni portafoglio attraverso il quale è passato. Spiccano due delle transazioni nella “catena” di transazioni che distribuiscono i fondi rubati in diversi portafogli. Uno è di 2.8 GigaIOTA, che indica che l’importo è stato inserito con una cifra “0” mancante. Un’altra transazione è stata di soli 2 GigaIOTA, indicando che hanno mancato la cifra “8” durante l’inserimento dell’importo. Questi errori non si sarebbero verificati se i trasferimenti fossero stati effettuati utilizzando uno script. “
Sebbene questi aspetti tecnici siano solo indicatori, sembrano indicare uno scenario in cui l’effettiva vulnerabilità è stata scoperta e sfruttata da un attaccante, che ha poi venduto i semi dei portafogli che contenevano il maggior numero di token a qualcuno molto meno tecnicamente informato.
Le due transazioni anormali – di 2.8 GigaIOTA e 2 GigaIOTA – può essere visto su Network Explorer.
Il nodo “coordinatore” di Tangle è ancora in attesa a seguito della violazione
Iota attualmente funziona sulla propria rete dedicata, Tangle. Tuttavia, il suo nodo “coordinatore”, progettato per prevenire gli attacchi, è attualmente sospeso a seguito della recente violazione. Il coordinatore può anche essere pensato come un enorme interruttore di accensione / spegnimento centralizzato, che è stato disattivato per salvare la rete da ulteriori danni. È ora confermato che il nodo verrà riattivato il 10 marzo, dopo che i titolari di MIOTA avranno intrapreso le misure necessarie per proteggere i loro portafogli installando il più recente strumento di migrazione dei semi.
Sebbene la Iota Foundation sia stata colpita online per aver disattivato l’intera rete, il fatto che $ 2 milioni di token fossero già stati rubati significa che un tale passo era probabilmente necessario. Fornendo le sue intuizioni in merito, Daniel Hernandez Rodriguez, co-fondatore e CEO di HASHWallet, ha dichiarato a Cointelegraph che il problema in questione non è interamente correlato ai portafogli Iota in questione, ma è anche correlato ai generatori online ad essi associati, aggiungendo:
“Ogni sistema software che genera semi può essere violato. I semi devono essere generati e immagazzinati in un sistema isolato in modo che nessuno abbia accesso ad essi né al sistema di generazione se non un sistema TRNG (True Random Number Generation). “
Per quanto riguarda l’attacco e l’entità del danno fatto, Harbour ha affermato che poiché il team di Iota non era sicuro della gravità dell’attacco, ovvero quanti semi sono stati rubati dai portafogli Trinity a causa della vulnerabilità, l’azienda ha preso la difficile decisione di fermare il coordinatore per impedire all’autore dell’attacco di estrarre più gettoni. Harbour ha poi aggiunto:
“Le persone meno familiari con Iota hanno interpretato male il fatto che attualmente Iota abbia il coordinatore, come un’indicazione che la rete non è decentralizzata. Attualmente, la rete Iota è decentralizzata con diverse centinaia di nodi che emettono e convalidano transazioni. Il processo di conferma si basa su pietre miliari emesse dal coordinatore e convalidate dall’intera rete; in altre parole, la finalità delle transazioni, infatti, dipende da questa componente centralizzata. Tuttavia, tutti i nodi verificano tutte le transazioni e non accetterebbero alcun “illecito” (come l’approvazione di transazioni non valide, doppie spese, ecc.) Dal coordinatore. “
Infine, Harbour ha anche sottolineato che alcuni non sono riusciti a capire che la tecnologia Distributed Ledger è ancora abbastanza nuova e, come con qualsiasi offerta del genere, ci vuole del tempo prima che raggiunga la piena maturità..
Molti dettagli importanti sono ancora discutibili
Anche se ci sono chiari indicatori che suggeriscono che un gran numero di seed del wallet sono stati rubati quando l’exploit MoonPay era attivo, non c’è modo di accertare quali seed sono stati rubati e quali no.
L’unica cosa certa in questo momento è che gli utenti che utilizzavano la versione desktop del portafoglio Trinity correvano il rischio che i semi del loro portafoglio venissero rubati. Questo è il motivo per cui la Iota Foundation ha chiesto ai propri clienti di utilizzare prontamente l’ultimo strumento di migrazione dell’azienda.
Inoltre, questa non è la prima volta che l’ecosistema Iota è stato vittima di una tale violazione della sicurezza. Alcuni anni fa, la piattaforma affrontato un’altra grave vulnerabilità legata ai suoi protocolli crittografici nativi. In una conversazione con Cointelegraph, Inal Kardanov, uno sviluppatore sostenitore di Waves Platform, un ecosistema blockchain open source, ha sottolineato quanto segue:
“Una seconda grave vulnerabilità in tre anni sembra molto pericolosa per i possessori e soprattutto per gli sviluppatori. Quindi, personalmente mi aspetto che molti sviluppatori eviteranno di creare prodotti su Iota in futuro, nonostante tutti gli sforzi del team di Iota per mitigare il problema “.
Il futuro sembra cupo per Iota?
Come accennato in precedenza, da quando è emersa questa ultima mancanza di sicurezza, Iota ha perso poco più del 40% del suo valore e non è chiaro cosa accadrà al prezzo del token una volta che la rete si riattiverà il 10 marzo.
Grafico dei prezzi MIOTA / USD dall’11 febbraio. Fonte: Coin360.com
Inoltre, la Iota Foundation afferma che il suo protocollo Tangle è ancora nella sua fase di beta test. Tuttavia, questo pone la domanda: se si tratta di una rete beta, i suoi token saranno considerati token beta e verranno scambiati solo su scambi beta dagli investitori che utilizzano denaro beta? E se il progetto è in beta, perché affrettarsi a introdurre il plug-in MoonPay senza un controllo sufficiente sul fatto che carichi il codice da una fonte esterna?
Infine, tutta una serie di esperti ha sostenuto che se l’ecosistema Iota fosse stato decentralizzato, anche nel caso in cui la piattaforma avesse perso 2 milioni di dollari a causa dell’hack, la rete sarebbe potuta rimanere attiva e il problema del portafoglio Trinity avrebbe potuto probabilmente è stato risolto abbastanza rapidamente.
Quindi, un punto di vista è che con una struttura decentralizzata, la Iota Foundation potrebbe avere impedito il profondo crollo del mercato che sta affrontando in questo momento, il che potrebbe avere un impatto ancora maggiore se i possessori di token decidessero di vendere i loro token MIOTA una volta che la rete tornerà online.
Trovare un modo sicuro
Al suo inizio, il progetto Iota è iniziato con la promessa di utilizzare la logica ternaria (invece del binario) per rendere il suo ecosistema completamente sicuro e resistente agli attacchi dei computer quantistici. Tuttavia, dopo anni in cui non sono stati compiuti progressi tangibili in quella direzione, il concetto ora sembra essere stato scartato, portando così molti a credere che la piattaforma sia ancora vulnerabile a varie minacce esterne. Niebe ha condiviso i suoi pensieri in merito:
“Si sono concentrati sulla ricerca di un modo per disattivare in sicurezza il coordinatore per quasi tre anni, sostenendo inizialmente che doveva essere eseguito solo fino a quando un numero sufficiente di transazioni sarebbe passato attraverso il Tangle. Anche questo si è rivelato non vero. Quindi, come hanno detto scherzosamente alcuni utenti: “Iota è effettivamente diventato il foglio di calcolo centralizzato più costoso esistente” “.
Per quanto riguarda la questione, Harbour ha detto a Cointelegraph che il decentramento progressivo man mano che la rete cresce e si rafforza è piuttosto comune, indicando Bitcoin (BTC) come esempio dello stesso, aggiungendo:
“Con la rimozione del Coordinatore, Iota manterrà la sua promessa di essere la prima tecnologia di registro distribuito senza costi, decentralizzata e scalabile disponibile. La natura senza febbre di Iota è importante per il futuro dell’IoT “.