AFX, il protocollo di derivati decentralizzati, ha annunciato che renderà pubblico il suo piano di recupero e compensazione per gli utenti vittima dell’exploit da 24,15 milioni di dollari avvenuto il 22 luglio. L’atteso annuncio sul recupero exploit bridge AFX è previsto per il 3 agosto, mentre l’indagine tecnica rivela un attacco sofisticato di social engineering che ha compromesso l’infrastruttura di sviluppo interna, portando alla sottrazione di 24,15 milioni di USDC.
Summary
Punti chiave
- AFX renderà pubblico un piano di recupero per gli utenti colpiti dall’exploit da 24,15 milioni di dollari il 3 agosto.
- L’attacco è partito il 9 luglio da una campagna di social engineering contro uno sviluppatore, compromettendo l’infrastruttura interna.
- L’exploit ha preso di mira esclusivamente il bridge di custodia gestito da AFX, lasciando intatto il bridge nativo di Arbitrum e la sua rete.
- I fondi rubati, pari a circa 24,15 milioni di USDC, sono stati convertiti in circa 12.467 ETH su Ethereum.
- AFX attribuisce l’attacco al gruppo di minaccia UNC4899 (TraderTraitor), legato alla Corea del Nord.
AFX annuncia il piano di compensazione per le vittime dell’exploit
Il protocollo ha comunicato di aver preparato un piano di buona volontà (goodwill plan) per gli utenti colpiti dal furto sulla sua piattaforma. I dettagli completi di questa strategia di recupero saranno svelati lunedì 3 agosto. In un aggiornamento condiviso sui social, il team di AFX ha sottolineato che investitori, dipendenti e sostenitori iniziali sono stati tutti profondamente colpiti dalla situazione, chiedendo alla comunità pazienza mentre finalizza la proposta.
L’annuncio arriva dopo che AFX ha completato la sua indagine tecnica sull’incidente, che ha portato al furto di circa 24,15 milioni di USDC dal bridge di custodia gestito dal protocollo. Non sono ancora stati resi noti i meccanismi specifici di compensazione o rimborso, ma il prossimo annuncio si concentrerà interamente sul piano di recupero.
Piano previsto per il rilascio il 3 agosto
La data del 3 agosto segna quindi un momento cruciale per gli utenti in attesa di risposte. Mentre le operazioni di recupero continuano, il protocollo ha già preso provvedimenti concreti per rafforzare la sicurezza, come la ricostruzione di parti dell’infrastruttura chiave e l’introduzione di ulteriori misure di protezione.
Impatto su investitori, dipendenti e sostenitori iniziali
L’attacco ha avuto un impatto trasversale, colpendo tutti gli stakeholder del progetto. Questo aspetto rafforza la motivazione dietro al piano di recupero, che mira a preservare la fiducia della comunità in un momento critico per la piattaforma di derivati decentralizzati.
Origine e modalità tecniche dell’attacco
Contrariamente a molti exploit nel settore DeFi, questa violazione non è partita da una vulnerabilità negli smart contract. L’indagine di AFX ha rivelato un attacco complesso che ha sfruttato la catena di fornitura software e i rapporti di fiducia interni.
Social engineering compromette i sistemi di sviluppo interni
Tutto è iniziato il 9 luglio, quando un malintenzionato, spacciandosi per un recruiter di una società chiamata Oddium Lab, ha convinto uno sviluppatore di AFX a clonare un repository software apparentemente legittimo. Questo repository conteneva una configurazione Git malevola che, durante un normale flusso di lavoro, ha eseguito un payload nascosto, dando all’attaccante un punto d’appoggio iniziale all’interno della workstation dello sviluppatore.
Componenti della supply chain software malevoli e compromissione del repository JFrog
Sfruttando il dispositivo compromesso, l’attaccante ha ampliato l’accesso ai sistemi di sviluppo interni. In un secondo momento, ha caricato un plugin Groovy malevolo nel repository di artefatti JFrog del protocollo, ottenendo l’esecuzione di codice remoto nell’ambiente di delivery software. Eventi ripetuti di memoria insufficiente sul server JFrog sono stati inizialmente trattati come problemi operativi, permettendo al plugin maligno di sopravvivere a diversi riavvii senza innescare allarmi di sicurezza.
Nodi validator compromessi tramite il servizio interno di gestione Ansible
La fase decisiva è arrivata quando l’attaccante è passato dall’ambiente di sviluppo compromesso all’infrastruttura operativa. Ha utilizzato un servizio di gestione interno basato su Ansible, che già deteneva accessi privilegiati ai nodi validator. Sfruttando questi rapporti di fiducia preesistenti, ha distribuito payload malevoli su un sottoinsieme di validatori, senza bisogno di rubare nuove credenziali.
Impatto e portata dell’exploit
L’attacco si è concretizzato alle 21:27 UTC del 22 luglio, quando i validatori compromessi hanno co-firmato una transazione sul bridge che ha trasferito circa 24,15 milioni di USDC dal bridge di custodia di AFX.
Bridge di custodia AFX preso di mira, non il bridge nativo di Arbitrum
Un aspetto cruciale emerso dall’indagine è che l’exploit ha preso di mira esclusivamente l’infrastruttura gestita da AFX. Steven Goldfeder, co-fondatore di Offchain Labs (la società dietro Arbitrum), ha confermato che la transazione sospetta si è originata da un protocollo di terze parti e che il bridge nativo di Arbitrum è rimasto sicuro durante l’intero incidente. Anche la rete Arbitrum non è stata compromessa.
Circa 24,15 milioni di USDC rubati e convertiti in ~12.467 ETH
Gli investigatori on-chain hanno tracciato gli USDC rubati dopo che sono stati spostati da Arbitrum a Ethereum. Su questa rete, i proventi sono stati convertiti in approssimativamente 12.467 ETH. Al momento delle indagini iniziali, non c’erano rapporti pubblici che confermassero il recupero di una parte di questi asset.
Recupero post-attacco e miglioramenti di sicurezza
In risposta alla violazione, AFX ha intrapreso una serie di azioni per rafforzare le sue difese e prevenire futuri incidenti. L’episodio sottolinea un rischio crescente per il settore: gli attacchi alla catena di fornitura software che aggirano le sicurezze on-chain.
Ricostruzione dell’infrastruttura e rotazione delle credenziali
Il protocollo ha ricostruito l’infrastruttura interessata e ha proceduto alla rotazione di tutte le credenziali operative. Ha anche aumentato la sensibilità dei sistemi di monitoraggio e ha migrato i sistemi di produzione in un ambiente più isolato.
Implementazione della segmentazione zero-trust e monitoraggio potenziato
Una delle misure chiave implementate è la segmentazione zero-trust, che limita l’accesso tra le diverse parti dell’infrastruttura. Questo approccio mira a contenere potenziali violazioni future, impedendo a un attaccante di muoversi lateralmente tra i sistemi come è avvenuto in questo caso.
Piani futuri per monitoraggio comportamentale e formazione del personale
Nei prossimi mesi, AFX pianifica di introdurre un monitoraggio comportamentale più forte, revisioni di sicurezza obbligatorie prima di riavviare i servizi di produzione, esercizi di threat-hunting ampliati e una formazione specifica per i dipendenti contro gli attacchi di social engineering.
Basandosi su prove forensi e tecniche d’attacco osservate, AFX ha affermato che i suoi ritrovamenti sono coerenti con l’attribuzione indipendente che collega l’incidente a UNC4899, noto anche come TraderTraitor, un gruppo di minaccia legato alla Corea del Nord monitorato da entità come Mandiant, Microsoft Threat Intelligence, FBI e CISA. Il protocollo continua a collaborare con partner di sicurezza esterni per tracciare gli asset rubati.
FAQ
Cosa ha causato l’exploit del bridge di AFX?
L’attacco è iniziato con una campagna di social engineering che ha compromesso uno sviluppatore, convincendolo a clonare un repository Git malevolo. Questo ha dato all’attaccante l’accesso iniziale ai sistemi di sviluppo interni, da cui ha poi escalato i privilegi.
Quanto è stato rubato nell’exploit del bridge di AFX e cosa è successo ai fondi?
Sono stati rubati circa 24,15 milioni di USDC dal bridge di custodia di AFX. I fondi sono stati successivamente convertiti in approssimativamente 12.467 ETH sulla rete Ethereum.
L’exploit ha colpito il bridge nativo di Arbitrum o la sua rete?
No, l’exploit ha preso di mira solo il bridge di custodia gestito da AFX. Non c’è stata alcuna compromissione del bridge nativo di Arbitrum o della sua rete sottostante, come confermato anche da Offchain Labs.
Qual è la risposta pianificata di AFX all’exploit?
AFX renderà pubblico un piano di recupero di buona volontà per gli utenti colpiti il 3 agosto. Nel frattempo, ha già ricostruito parti dell’infrastruttura, ruotato le credenziali e implementato misure di sicurezza rafforzate, inclusa la segmentazione zero-trust.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
