OKX Star разъясняет: Инцидент с атакой на Wuhan Anhun Technology не является уязвимостью в Web3-кошельке OKX.

Сутью этого инцидента является типичная атака на цепочку поставок, а не уязвимость на уровне протокола кошелька или приложения. Злоумышленники использовали метод "отравления" плагинов для внедрения вредоносных скриптов, которые крадут конфиденциальные данные в локальной среде пользователя, включая зашифрованные файлы и пароли. Эта схема атаки направлена на слабые места безопасности конечных устройств, а не на недостатки в дизайне или реализации кошелька.

Основная модель безопасности некастодиальных кошельков построена на принципе независимого контроля над приватными ключами пользователем. Это означает, что ответственность за безопасность в значительной степени переносится на пользователя, включая безопасность устройства, чистоту среды работы и способ хранения приватных ключей. Если устройство пользователя заражено вредоносным ПО, злоумышленники могут обойти все криптографические защиты и получить доступ к открытым данным. Это похоже на ситуацию, когда ключ от сейфа украден в физическом мире: независимо от того, насколько надежен сейф, потеря активов неизбежна.

Реакция OKX соответствует логике безопасности некастодиальных кошельков. Они правильно указали на два ключевых момента: во-первых, это не уязвимость в коде или инфраструктуре кошелька; во-вторых, любая некастодиальная схема становится неэффективной, если устройство находится под контролем злоумышленников. Это разъяснение помогает избежать ошибочных суждений об уровне безопасности кошельков и перенаправляет внимание на более важные вопросы безопасности конечных устройств.

Серия связанных статей показывает, что OKX постоянно инвестирует в образование пользователей в области безопасности, охватывая различные аспекты, от анализа вредоносного ПО до мониторинга блокчейна. Эти инвестиции необходимы, поскольку безопасность Web3 переходит от защиты протоколов к защите взаимодействия человека и компьютера. Пользователи должны понимать, что в некастодиальной модели они одновременно являются самым сильным и самым слабым звеном в цепи безопасности.

В настоящее время угрозы безопасности Web3 переходят на уровень конечных устройств, включая вредоносные плагины, поддельные приложения и социальную инженерию. Эта эволюция требует, чтобы стратегии безопасности расширялись от простого аудита смарт-контрактов до мониторинга среды конечных устройств и обучения пользователей. В будущем могут потребоваться более зрелые решения для безопасности на уровне устройств, такие как аппаратная изоляция или доверенные среды выполнения, для компенсации недостатков традиционной программной защиты.

Этот инцидент также отражает нечеткость в вопросах распределения ответственности за безопасность в отрасли. Хотя технически поставщики кошельков не несут ответственности за безопасность конечных устройств, ожидания пользователей часто выше. Поэтому крупные поставщики кошельков могут нуждаться в предоставлении более полных руководств и инструментов по безопасности, чтобы помочь пользователям управлять рисками, даже если эти риски находятся вне их контроля.