Cardano With Paul analizira ograničenja oporavka SecondFi

Korisnici pogođeni sigurnosnim incidentom u lipnju u SecondFi sada mogu provjeriti koja su sredstva dostupna za oporavak i zatražiti isporuku na novi Cardano novčanik. Alat je pokrenut 7. listopada dok SecondFi postupno obustavlja poslovanje. U svom vodiču Cardano With Paul objašnjava kako proces funkcionira i gdje ne uspijeva u potpunosti riješiti preostalu izloženost korisnika.

Kako funkcionira oporavak u SecondFi

SecondFi, ranije poznat kao Yoroi, ima odvojene alate za migraciju i oporavak.

Migracija premješta sredstva koja su još uvijek u novčaniku, dok oporavak obrađuje prihvatljiva sredstva pogođena incidentom. To uključuje sredstva koja su stručnjaci za sigurnost white hat premjestili na sigurno koristeći istu ranjivost koju su iskoristili zlonamjerni napadači.

Alat za oporavak provjerava adrese pogođenog novčanika, prikazuje prihvatljiva sredstva i generira kriptografski dokaz koji povezuje zahtjev s novim odredištem. SecondFi savjetuje da se za obradu predvidi do pet radnih dana.

Primajuća adresa mora pripadati novostvorenom Cardano novčaniku kojim upravlja korisnik, uključujući i hardverski novčanik. Depozitne adrese burzi su isključene.

Paul prikazuje početne provjere s privremenim testnim novčanikom jer nema dostupan pogođeni novčanik. Njegov video stoga pokriva sučelje i objavljene upute bez dovršetka stvarne isplate. Također navodi proturječna iskustva s ishodima oporavka, osobito za sredstva koja su preuzeli zlonamjerni napadači umjesto da su ih osigurali white hat stručnjaci.

Fraze za oporavak i ograničenja naknade

Postupak zahtijeva frazu za oporavak pogođenog novčanika kako bi se generirao dokaz bez znanja. Dokumentacija SecondFi opisuje lokalnu obradu u pregledniku, pri čemu se umjesto fraze predaje dokaz. Paul dovodi u pitanje odluku da se unos traži putem web stranice i naglašava opasnost od imitacijskih portala. Uključena je samo fraza starog novčanika; novo odredište zahtijeva njegovu javnu primajuću adresu.

Ta razlika ne predstavlja neovisnu sigurnosnu procjenu. U vrijeme snimanja Paul nije bio upoznat s javno dostupnim izvornim kodom alata i oslanjao se na opis SecondFi o načinu na koji postupa s vjerodajnicama novčanika.

Iznosi za oporavak također imaju ograničenja. Prikazana alokacija je procjena i može se razlikovati od konačnog povrata. Prihvatljivi NFT tokeni osigurani za oporavak mogu se vratiti izravno; oni koji se ne mogu vratiti dobivaju fiksnu alokaciju od 30 ADA po komadu, bez pojedinačne procjene. Odredišna adresa ne može se mijenjati nakon podnošenja, a službeni postupak ne zahtijeva ni naknadu za oporavak ni predujam sredstava.

Midnight otkupi ostaju izloženi

Korisnici koji očekuju dodatne NIGHT tokene putem Glacier Drop suočavaju se s posebnim problemom. Raspodjele se otključavaju u fazama i dostavljaju se na Cardano adresu određenu tijekom izvornog postupka podnošenja zahtjeva. Premještanje postojećeg stanja novčanika drugamo ne preusmjerava te kasnije isporuke.z

Paul razmatra otkup tokena i njihovo trenutno prebacivanje u drugi novčanik, no opisuje utrku s bilo kojim napadačem koji nadzire kompromitiranu adresu. Razmatra i plaćanje naknada za otkup iz drugog novčanika, što bi i dalje ostavilo tokene da stignu na izvorno odredište. Nijedan pristup ne uklanja rizik da ih napadač preuzme prije nego što nositelj može reagirati.

Upute SecondFi upozoravaju da budući NIGHT otkupi poslani na pogođene novčanike mogu biti ispražnjeni i možda se neće moći oporaviti. Uspješna isplata u sklopu oporavka ne vraća sigurnost tih novčanika niti mijenja odredište registrirano za Glacier Drop. Korisnici stoga mogu primiti prihvatljiva sredstva na svojoj novoj adresi dok kasnije Midnight distribucije ostaju vezane uz kompromitiranu.