Хакер использует уязвимость Bisq, чтобы украсть 250,000 долларов

Bisq, биржа, которая позволяет пользователям анонимно обмениваться криптовалютой, внезапно отключила торговлю поздно вечером во вторник после того, как обнаружила «критическую уязвимость безопасности».

В то время биржа не разглашала информацию о характере изъянов или о том, были ли средства пользователей украдены, но через 18 часов после того, как она прекратил торговать, в бирже рассказали, что она предприняла «беспрецедентный» шаг и обнаружила, что злоумышленник использует уязвимость в программном обеспечении для кражи криптовалюты у других пользователей:

«Около 24 часов назад мы обнаружили, что злоумышленник смог использовать уязвимость в торговом протоколе Bisq, направленную на отдельные сделки с целью кражи торгового капитала. Нам известно о приблизительно 3 BTC и 4,000 XMR, украденных у 7 разных жертв. Это всё, что известно на данный момент».

На момент публикации стоимость украденной криптовалюты составляла примерно 22,000 долларов США в биткоинах и 230,000 долларов в виде Monero, что в общей сложности составляет более 250,000 долларов.

Чтобы совершить кражу, злоумышленник смог установить собственный резервный адрес других пользователей – пункт назначения, на который отправляется криптография в случае неудачной сделки, – самостоятельно. Выдавая себя за продавца, он начинал торговать с покупателем и просто ждал, пока закончится срок. Вместо того, чтобы обращаться к законному владельцу, цифровые активы поступали злоумышленнику вместе с платежом и залогом покупателя.

Данный недостаток возник как часть недавнего обновления торгового протокола, который был разработан для улучшения децентрализации и удаления доверенных третьих сторон из платформы.

Bisq удалось исправить ошибку к 15:00, и торговля только что возобновилась.

В большинстве случаев биржевого взлома злоумышленник может быть выгружен с торговой платформы навсегда. Но с Bisq всё не так.

Один из ассоциированных разработчиков биржи рассказал, что, хотя этот недостаток был исправлен, ничто не мешало злоумышленнику – чья личность остаётся загадкой – снова получить доступ и торговать на платформе.

«Любой может использовать Bisq, там нет цензуры», – сказал разработчик.