PSA: Bridge da BNB hackeada em $400m! Não use a rede da BSC !!

[TryNinja]

Há cerca de 1 hora a bridge da BNB <> BSC foi hackeada e 1 milhão de BNB ($230m) + outros tokens foram roubados, totalizando mais de $400m.

O pessoal da Binance logo suspendeu todos os depositos da rede. Agora é esperar para ver o que eles fazem. Vão fazer um rollback? Um tipo de blacklist em escala de rede? Enfim, melhor prevenir do que remediar e não aceitar ou enviar qualquer tx enquanto isso não se resolve.

Mais detalhes: https://twitter.com/wallet_guard/status/1578151476974669825

Endereço do pilantra, com mais de $500m em tokens: https://bscscan.com/address/0x489a8756c18c0b8b24ec2a2b9ff3d4d447f79bec

[alegotardo]

Há cerca de 1 hora a bridge da BNB <> BSC foi hackeada e 1 milhão de BNB ($230m) + outros tokens foram roubados, totalizando mais de $400m.

O pessoal da Binance logo suspendeu todos os depositos da rede. Agora é esperar para ver o que eles fazem. Vão fazer um rollback? Um tipo de blacklist em escala de rede? Enfim, melhor prevenir do que remediar e não aceitar ou enviar qualquer tx enquanto isso não se resolve.

Mais detalhes: https://twitter.com/wallet_guard/status/1578151476974669825

Endereço do pilantra, com mais de $500m em tokens: https://bscscan.com/address/0x489a8756c18c0b8b24ec2a2b9ff3d4d447f79bec

Duas coisas me surpeendem nessa historia:
A primeira é como que alguém consegue de forma "tão fácil" hackear uma rede tão importante como essa;
A segunda é porque o meliante foi logo querer por a mão em 230 milhões de dólares que agora valem muito menos, ou nada caso consigam dar um jeito de bloquear o valor roubado, não poderia ele ter roubado "aos poucos" de forma silenciosa e sem causar tanto estrago e dor e preocupação pra tanta gente?

[TryNinja]

Para quem se interessa, aqui um thread tecnico do mestre samczsun explicando como esse exploit foi possível: https://twitter.com/samczsun/status/1578167198203289600

TLDR:

In summary, there was a bug in the way that the Binance Bridge verified proofs which could have allowed attackers to forge arbitrary messages. Fortunately, the attacker here only forged two messages, but the damage could have been far worse

Um exploit extremamente complicado, quase me deu dor de cabeça lendo os detalhes (). Prova de que provavelmente tem equipes de tempo integral lendo cada linha de código dos contratos mais suculentos (com mais $$$$). Se houver como, uma hora vai.

[Disruptivas]

Um comentário que talvez eu nem devesse fazer, mas vou fazer!

Eu não consigo nem chamar o cara de pilantra, eu acho quase acho o nível de dedicação e complexidade desse tipo de ataque bonito!

Esse processo de tentar entender todos os pormenores dos sistemas, das suas conexões até encontrar UM DETALHE que faz toda a diferença e muda completamente o desfeche das história e da história das pessoas. Tem um filosofo da ciencia chamado Bruno Latour, que ele sempre diz que a ciência é na verdade não resultado de fatos irrevogáveis, mas a história de nós de controversias que se afirmam e se desfazem ao longo da história. Para Latour, os fatos científicos são construções coletivas fixadas através de alianças entre atores. Ai quando ouço essa história, realmente só consigo pensar na rede que deve existir atrás disso, se dedicando para tornar possível um evento que muda as coisas, que faz com que repensemos tudo.

Enfim, eu acordei lendo essa notícia e fiquei divagando sobre na minha própria cabeça

[TryNinja]

A BSC está funcionando novamente.

Pensei que apenas a bridge e saques/depositos pelas exchanges tivessem sido desabilitadas, mas na verdade pediram para os validadores da rede simplesmente desligarem ela para ganhar um tempo.

Lançaram também um hard fork que desabilitou as transferencias entre a rede da BNB e BSC: https://github.com/bnb-chain/bsc/releases/tag/v1.1.15

O mesmo hard fork inclui uma blacklist para endereços (), entre eles o endereço do hacker: https://github.com/bnb-chain/bsc/commit/5b35b3902372dfcd9fb45fbd90683f0a1f66aa1e

[joker_josue]

A segunda é porque o meliante foi logo querer por a mão em 230 milhões de dólares que agora valem muito menos, ou nada caso consigam dar um jeito de bloquear o valor roubado, não poderia ele ter roubado "aos poucos" de forma silenciosa e sem causar tanto estrago e dor e preocupação pra tanta gente?

Essa eu sei responder: GANANCIA!
O problema dessa malta é quando se torna gananciosa, e deixa de raciocinar direito de como realmente deviam fazer as coisas.

Eu não consigo nem chamar o cara de pilantra, eu acho quase acho o nível de dedicação e complexidade desse tipo de ataque bonito!

Esse processo de tentar entender todos os pormenores dos sistemas, das suas conexões até encontrar UM DETALHE que faz toda a diferença e muda completamente o desfeche das história e da história das pessoas.

Eu de certa forma concordo.
Essa pessoa ficou horas, dias e semanas analisar o código a procura de uma falha. Isso envolve muito trabalho! O que depois é pena, é usarem essa falha para prejudicar centenas de pessoas.

Nos anos 80/90 havia muito hacker que quando encontrava essas falhas, não as usava para roubar ou pelo menos para roubar tanto. Normalmente era para se mostrar e dizer do que era capaz. E normalmente acabava por ir trabalhar para essas empresas ou empresas de segurança IT.
Hoje, o focou deixou de ser este, e é roubar o máximo que conseguir, não importa que se prejudica muitas ou poucas pessoas.

Nesse aspeto, perdeu-se um pouco o espirito de comunidade. É pena.

Lançaram também um hard fork que desabilitou as transferencias entre a rede da BNB e BSC: https://github.com/bnb-chain/bsc/releases/tag/v1.1.15

O mesmo hard fork inclui uma blacklist para endereços (), entre eles o endereço do hacker: https://github.com/bnb-chain/bsc/commit/5b35b3902372dfcd9fb45fbd90683f0a1f66aa1e

Acho que até é uma solução bem intelegente. Reajustar tudo, para o hacker não conseguir ir muito longe com o dinheiro.
Para que andar a procurar de quem roubou e tentar recuperar, se simplesmente pode-se corrigir o problema e criar uma forma desse dinheiro roubado perder todo o valor!? 

[TryNinja]

A segunda é porque o meliante foi logo querer por a mão em 230 milhões de dólares que agora valem muito menos, ou nada caso consigam dar um jeito de bloquear o valor roubado, não poderia ele ter roubado "aos poucos" de forma silenciosa e sem causar tanto estrago e dor e preocupação pra tanta gente?

Essa eu sei responder: GANANCIA!
O problema dessa malta é quando se torna gananciosa, e deixa de raciocinar direito de como realmente deviam fazer as coisas.

Não concordo totalmente. Considerando os possíveis alertas que tem na bridge, o coração de toda a rede, era válido pegar o máximo possível de uma vez e correr para a saida tentando tirar da rede a quantia de dinheiro que desse, por meio de bridges terceiras.

O que aconteceu? Os hackers pegaram mais de $500m, porem só conseguiram "sacar" $70-80m através de outras bridges antes da rede ser totalmente desligada. Agora ela voltou e o endereço foi bloqueado no nível da rede.

[gagux123]

(...)

(...)

@Disruptivas, eu também concorco com esse seu tipo de analogia... para uma pessoa (ou um grupo de pessoas) conseguirem achar uma falha em uma linha de código de uma "plataforma em que é transacionado" milhões (ou até mesmo bilhões de doláres), não é uma pessoa comum que conseguiria fazer isso, de fato é uma pessoa "fora da reta" 

@TryNinja, tu que manja nessa parte mais técnica... resumindo, mas o problema de fato já foi solucionado ou eles apenas ""taparam"" o Sol com a peneira!!?

[TryNinja]

tu que manja nessa parte mais técnica... resumindo, mas o problema de fato já foi solucionado ou eles apenas ""taparam"" o Sol com a peneira!!?

Não sei dizer... a comunicação entre a BNB e BSC continuam desativadas, então eles podem muito bem ainda estar trabalhando em um fix e talvez planejando algumas auditorias (como deveriam).

O engraçado é que o hack acontece e já aparecem pessoas criando contratos maliciosos se passando pelo hacker (i.e um tipo de robinhood onde vai usar parte do $$ para pumpar uma memecoin).

Olha só: https://twitter.com/samczsun/status/1578231427463716864

Criaram o token "bnbhackerinu" e fizeram algumas maracutaias para que alguem que esteja olhando a Etherscan pense que o criador é o hacker que roubou os $500m, so que foi só um random que mais tarde vai fazer o rug do token.

[bitmover]

Eu não consigo nem chamar o cara de pilantra, eu acho quase acho o nível de dedicação e complexidade desse tipo de ataque bonito!

Eu acho de certa forma comparado a situação do Ross.

Um cara genial, que prefere ganhar uma bolado de forma ilegal do que trabalhar anos de forma.legal...

[joker_josue]

Um cara genial, que prefere ganhar uma bolado de forma ilegal do que trabalhar anos de forma.legal...

No caso nem era preciso trabalhar anos... era simplesmente ir fazendo o que gosta ao ritmo que gosta e já ganharia bastante.

Porque mesmo que o cara fica-se com os $400m, duvido que parasse de fazer analises a código. Essa malta, faz isso por gosto e sempre que pode, não consegue parar. Só se ficar meio doido tipo McAfae. 

[rdluffy]

Eu achei que ia demorar muito mais ou que não íamos ver um hack assim na Binance / BNB

Não me atrevo a comentar sobre os detalhes do hack pois não tenho conhecimento dos contratos / códigos / programação, mas isso que vocês comentaram é a triste verdade, hoje tem equipes buscando incessantemente algum exploit que dê para utilizar, pois a recompensa é enorme.

A parte mais triste é que vai drenando não só o dinheiro, mas também a confiança do mercado. Com certeza a Binance pode absorver isso, mas é dinheiro jogado fora, desperdiçado, bem ruim pra nós como um todo.

[Disruptivas]

Será que esse tipo de hack e roubo acontece nos bancos tradicionais também e nós simplesmente não sabemos pois as informações do ledger não são publicas tal como ocorre com a blockchain  e eles ocultam o máximo que podem quando ocorre algo ou será que não ocorre, pelo menos não nessa proporção/magnitude e realmente as criptomoedas ainda precisam avançar muuuuuuuuuuuito para que possam se comparar com a segurança dos sistemas mais tradicionais? 

[gagux123]

(...)

(...)

Hmm... valeu pelo update Ninja! Estarei ansioso para saber como essa "novela" irá acabar 

Excelente questão @Disruptivas, confesso que isso nunca passou em minha mente!
Mas eu não tenho duvidas de que como o sistema bancário tradicional é mais fechado, deve ter muuuita coisa que acontece por de trás sem que nós usuários/investidores nem sequer sabemos sobre esses tipos de coisas...

Deve acontecer muita coisa por "debaixo dos panos", mas com certeza eles não divulgam isso...

[joker_josue]

Será que esse tipo de hack e roubo acontece nos bancos tradicionais também e nós simplesmente não sabemos pois as informações do ledger não são publicas tal como ocorre com a blockchain  e eles ocultam o máximo que podem quando ocorre algo ou será que não ocorre, pelo menos não nessa proporção/magnitude e realmente as criptomoedas ainda precisam avançar muuuuuuuuuuuito para que possam se comparar com a segurança dos sistemas mais tradicionais? 

Excelente questão @Disruptivas, confesso que isso nunca passou em minha mente!
Mas eu não tenho duvidas de que como o sistema bancário tradicional é mais fechado, deve ter muuuita coisa que acontece por de trás sem que nós usuários/investidores nem sequer sabemos sobre esses tipos de coisas...

Claro que também acontece, mas com muito menos frequência e normalmente em bancos "mais pequenos".
Notem este artigo do FMI: https://www.imf.org/external/pubs/ft/fandd/2021/03/global-cyber-threat-to-financial-systems-maurer.htm

Depois existem algumas diferenças no sistema tradicional que permite mitigar e evitar haver tantos casos. O sistema de segurança IT a nível bancário é muito elevado, os bancos tem equipas de monitorização 24h/dia a contra atacar ataques informáticos. Ou seja eles jogam na antecipação.

Depois, existe uma grande interligação entre os bancos em todo o mundo, o dinheiro roubado tem de ir para algum lado para ser levantado. Ou seja, a probabilidade de conseguirem recuperar o dinheiro é muito maior. E claro, não é assim tão anonimo, o que torna mais fácil apanhar o criminoso.

Os bancos tem ainda seguros e outros fundos, para mitigar as perdas e evitar que os clientes fiquem sem dinheiro.

[Disruptivas]

Depois, existe uma grande interligação entre os bancos em todo o mundo, o dinheiro roubado tem de ir para algum lado para ser levantado. Ou seja, a probabilidade de conseguirem recuperar o dinheiro é muito maior. E claro, não é assim tão anonimo, o que torna mais fácil apanhar o criminoso.

Os bancos tem ainda seguros e outros fundos, para mitigar as perdas e evitar que os clientes fiquem sem dinheiro.

Sobre essa questão, se pensarmos bem, é a mesma dinamica que existe em cripto, quando as exchanges bloqueiam os fundos que vieram de hack. Ai fico pensando, todos os bancos do mundo tem o mesmo sistema? Existe um sistema que alarme em tempo real sobre os ataques? Por que fiquei pensando, rola um ataque, ele nem sempre é visto no mesmo momento, ai a pessoa faz uma transferencia pra um banco em outro lugar do mundo e talvez saque. Claro que é uma operação que demora alguns dias e não segundos como em cripto.

Não sei se essa conexão entre os bancos tem cobertura globl global, e também fico pensando se as exchanges e os maiores protocolos talvez também não comecem a ter essa cobertura com o tempo, algum sistema de comunicação para mitigar esse tipo de coisa

[bitmover]

Sobre essa questão, se pensarmos bem, é a mesma dinamica que existe em cripto, quando as exchanges bloqueiam os fundos que vieram de hack. Ai fico pensando, todos os bancos do mundo tem o mesmo sistema? Existe um sistema que alarme em tempo real sobre os ataques? Por que fiquei pensando, rola um ataque, ele nem sempre é visto no mesmo momento, ai a pessoa faz uma transferencia pra um banco em outro lugar do mundo e talvez saque. Claro que é uma operação que demora alguns dias e não segundos como em cripto.

Não sei se essa conexão entre os bancos tem cobertura globl global, e também fico pensando se as exchanges e os maiores protocolos talvez também não comecem a ter essa cobertura com o tempo, algum sistema de comunicação para mitigar esse tipo de coisa
[/quote]

Bancos podem reverter transações e até te dar um saldo negativo. Podem também fazer bloqueios judiciais e tem advogados para fazer ate penhora dos seus bens.

Acho que os hacks roubam menos grana tb, pois saques altos são muito limitados e exigem ate presença física

[Paredao]

Bancos podem reverter transações e até te dar um saldo negativo. Podem também fazer bloqueios judiciais e tem advogados para fazer ate penhora dos seus bens.

Acho que os hacks roubam menos grana tb, pois saques altos são muito limitados e exigem ate presença física

Hoje em dia não se tem mais aquela "visão romântica" onde o malandro dava um golpe bancário e ia desfrutar o ganho num paraíso fiscal. Nem na Suíça está dando para esconder uma grana. Isso tudo ficou nos filmes de Hollywood. 

[joker_josue]

Sobre essa questão, se pensarmos bem, é a mesma dinamica que existe em cripto, quando as exchanges bloqueiam os fundos que vieram de hack. Ai fico pensando, todos os bancos do mundo tem o mesmo sistema? Existe um sistema que alarme em tempo real sobre os ataques? Por que fiquei pensando, rola um ataque, ele nem sempre é visto no mesmo momento, ai a pessoa faz uma transferencia pra um banco em outro lugar do mundo e talvez saque. Claro que é uma operação que demora alguns dias e não segundos como em cripto.

O que estas a falar, não é um ataque direto ao banco, mas sim ao utilizador. Caso um utilizador seja sofra um hack e não se aperceba disso, ao realizar uma transferência, pode pensar estar a enviar para uma pessoa e na realidade é para outra. Mas nesses casos, a responsabilidade é do utilizador e não do banco, mesmo assim se a pessoa se aperceber a tempo, talvez ainda consiga falar com o banco para eles atuarem e tentarem reverter a situação.

Quando a monitorização. Os bancos tem realmente dos melhores sistemas que existem, a tempo real.

Não sei se já aconteceu com vocês. Mas sei de casos em que assim que surge alguma movimentação de dinheiro fora do normal, a conta/cartões ficam automaticamente bloqueados e em poucos minutos o cliente recebeu uma chamada do banco a questionar se tinha sido ele a fazer aquele movimento ou não.

Eles não só tem um sistema de monitorização, como tem pessoas a tempo real a verificar qualquer tipo de ataque. Por isso é que os hackers raramente tentam roubar diretamente um banco, tentam sempre atacar os clientes para depois os roubar. Claro que há quem tente atacar diretamente o banco, mas é mais pelo o desafio em si.

[alegotardo]

Eu não consigo nem chamar o cara de pilantra, eu acho quase acho o nível de dedicação e complexidade desse tipo de ataque bonito!

Esse processo de tentar entender todos os pormenores dos sistemas, das suas conexões até encontrar UM DETALHE que faz toda a diferença e muda completamente o desfeche das história e da história das pessoas.

Eu de certa forma concordo.
Essa pessoa ficou horas, dias e semanas analisar o código a procura de uma falha. Isso envolve muito trabalho! O que depois é pena, é usarem essa falha para prejudicar centenas de pessoas.

Nos anos 80/90 havia muito hacker que quando encontrava essas falhas, não as usava para roubar ou pelo menos para roubar tanto. Normalmente era para se mostrar e dizer do que era capaz. E normalmente acabava por ir trabalhar para essas empresas ou empresas de segurança IT.
Hoje, o focou deixou de ser este, e é roubar o máximo que conseguir, não importa que se prejudica muitas ou poucas pessoas.

Foi exatamente nisso que eu pensei estava pronto para responder, mas tu foi mais rápido....
Sendo que há grandes empresas que hoje PAGAM MUITO BEM para que hackers descubram e reportem problemas, por que é que essa gente gasta todo o seu potencial para fazer algo criminoso e desonesto?
Ainda mais, como disse o TryNinja, acabaram bloqueando o endereço do hacker, então no final todo o estudo que tiveram e causou tanto transtorno e perdas acabou não gerando "lucro" algum para os hackers?