Cobo 安全團隊：WazirX 被盜幣事件分析

WEEX 唯客博客， 1 事件概述 2024 年 7 月 18 日，印度加密貨幣交易所 WazirX 的一個多簽錢包被盜超過 2.3 億美元。該多簽錢包為 Safe{Wallet} 智能合約錢包。攻擊者誘導多簽簽名者簽署了合約升級交易，攻擊者通過升級后的合約直接轉移了錢包中的資產，最終將約超過 2.3 億美元的資產全部轉出。 2 攻擊過程分析 註：以下分析基於 WazirX 和 Liminal 事後報告、鏈上數據、互聯網公開信息，可能存在信息不全或誤差，從而導致分析結論有所偏差。分析結果僅供參考，具體以當事廠商後續調查結果為準。 原文鏈接： WazirX 博客：https://wazirx.com/blog/wazirx-cyber-attack-key-insights-and-learnings/ Liminal Custody 博客：https://www.liminalcustody.com/blog/update-on-wazirx-incident/ 2.1 多簽錢包配置與攻擊過程 根據雙方披露的信息，WazirX 使用 Safe (前稱 Gnosis Safe)  進行資金管理，並通過 Liminal 進行協管。該 Safe 錢包採用 4/6 的簽名方式，其中 5 把私鑰為 WazirX 成員通過硬體錢包管理，1 把私鑰由 Liminal 通過 HSM 管理。 正常流程下，WazirX 通過 Liminal 平台的網頁發起交易轉賬，轉賬地址受  Liminal 平台維護的地址白名單限制。WazirX 的 5 位簽名者中的 3 位確定交易無誤后，使用硬體錢包簽名。Liminal 平台收集到 3 個簽名后，再使用 HSM 添加最後的簽名，並使交易上鏈。從鏈上攻擊交易中看，攻擊交易中確實包含了 3 個合法簽名，且第 4 個簽名為交易發起者（即 Liminal），與披露的錢包管理架構一致。 結合 Liminal 和 WazirX 雙方報告，這筆惡意多簽交易發起的流程如下： 攻擊者通過某種未知手段（包括不限於 0-day 網路攻擊、社會工程學攻擊等）誘導 WazirX 簽名交易。 WazirX 3 名成員，分別通過書籤等登錄 Liminal 平台，進行 Google 驗證及 MFA 驗證通過後，查看到待簽名交易為 2 筆 GALA 和 1 筆USDT 轉賬交易，…