Злоумышленник похитил свыше $250 000 у пользователей некастодиальной биржи Bisq

Остановка торгов на некастодиальной бирже Bisq этой ночью оказалась связана с успешной атакой на её пользователей. Ранее разработчики сообщали о «критической уязвимости в безопасности».

«Около 24 часов назад мы обнаружили, что организатору атаки удалось воспользоваться уязвимостью в торговом протоколе для кражи активов отдельных пользователей, – заявил представитель биржи в разговоре с CoinDesk. – Нам известно о приблизительно 3 BTC и 4 000 XMR, украденных у семи различных жертв».

Стоимость украденной криптовалюты составляет $22 000 в биткоинах и $230 000 в Monero. Таким образом, совокупный ущерб от этой атаки превышает $250 000, однако в Bisq отмечают, что предоставили только имеющиеся у них на данный момент сведения.

Атака была организована следующим образом. Злоумышленнику удалось заменить устанавливаемый по умолчанию адрес для возврата средств пользователя в случае отмены сделки на свой собственный. Затем, представляясь продавцом, он начинал сделку с покупателем и дожидался её истечения. В результате цифровые активы не возвращались к своему владельцу, а переводились на адрес хакера.

Уязвимость возникла в результате недавнего обновления торгового протокола, направленного на повышение децентрализации и исключение из процесса торгов третьих лиц.

К моменту публикации уязвимость была устранена, а торговля на платформе восстановлена. В отличие от некоторых других бирж, называемых «децентрализованными», Bisq позволяет пользователям торговать анонимно без регистрации и верификации. При всех плюсах такого подхода он также помог злоумышленнику остаться неизвестным.

«Любой желающий может пользоваться Bisq, никакой цензуры. Так же любой желающий может пользоваться биткоином, нельзя никого оградить от этого», – заявил разработчик.