Cardano With Paul изучает ограничения восстановления SecondFi

Пользователи, пострадавшие вследствие июньского инцидента безопасности SecondFi, теперь могут проверить, какие активы доступны для восстановления, и запросить их доставку в новый кошелек Cardano. Инструмент был запущен 7 октября, поскольку SecondFi сворачивает деятельность. В своем разборе Cardano With Paul объясняет, как работает процесс и где он не устраняет оставшиеся риски пользователей.

Как работает восстановление SecondFi

SecondFi, ранее известный как Yoroi, имеет отдельные инструменты для миграции и восстановления.

Миграция переносит активы, которые все еще находятся в кошельке, а восстановление касается подходящих активов, затронутых инцидентом. К ним относятся средства, которые специалисты по безопасности white hat переместили на хранение, используя ту же уязвимость, что и злоумышленники.

Инструмент восстановления проверяет адреса пострадавшего кошелька, отображает подходящие активы и формирует криптографическое доказательство, связывающее запрос с новым местом назначения. SecondFi рекомендует закладывать до пяти рабочих дней на обработку.

Адрес получения должен принадлежать вновь созданному кошельку Cardano под контролем пользователя, включая аппаратный кошелек. Депозитные адреса бирж исключены.

Paul демонстрирует начальные проверки с использованием временного тестового кошелька, поскольку у него нет пострадавшего кошелька. Поэтому его видео охватывает интерфейс и опубликованные инструкции без завершения фактической выплаты. Он также сообщает о противоречивых свидетельствах результатов восстановления, особенно по активам, которые были изъяты злоумышленниками, а не сохранены специалистами white hat.

Фразы восстановления и пределы компенсации

Процесс требует секретную фразу восстановления пострадавшего кошелька для генерации доказательства с нулевым разглашением. Документация SecondFi описывает локальную обработку в браузере, при которой отправляется доказательство вместо самой фразы. Paul ставит под сомнение решение требовать ввод через веб сайт и подчеркивает опасность поддельных порталов. Участвует только фраза старого кошелька, для нового места назначения требуется его публичный адрес получения.

Это различие не является независимой оценкой безопасности. На момент записи Paul не знал о публично доступном исходном коде инструмента и полагался на описание SecondFi того, как он обрабатывает учетные данные кошелька.

Суммы восстановления также имеют ограничения. Отображаемый объем является оценочным и может отличаться от итоговой выплаты. Подходящие NFT, обеспеченные для восстановления, могут быть возвращены напрямую, те, которые вернуть нельзя, получают фиксированный объем в 30 ADA за каждый без индивидуальной оценки. Адрес назначения нельзя изменить после отправки, и официальный процесс не требует ни комиссии за восстановление, ни предварительного перевода средств.

Редемпции Midnight остаются уязвимыми

Пользователи, ожидающие дальнейшие токены NIGHT через Glacier Drop, сталкиваются с отдельной проблемой. Выделения разблокируются поэтапно и доставляются на адрес Cardano, указанный во время первоначального процесса заявки. Перемещение существующего баланса кошелька в другое место не перенаправляет эти последующие доставки.z

Paul рассматривает вариант выкупить токены и немедленно перевести их в другой кошелек, но описывает гонку со злоумышленником, который может отслеживать скомпрометированный адрес. Он также обсуждает оплату комиссий за выкуп из другого кошелька, что все равно оставит доставку токенов на исходный адрес назначения. Ни один из подходов не устраняет риск того, что злоумышленник успеет их забрать раньше владельца.

Рекомендации SecondFi предупреждают, что будущие редемпции NIGHT, отправленные на пострадавшие кошельки, могут быть выведены и могут не подлежать восстановлению. Успешная выплата по восстановлению не возвращает безопасность этих кошельков и не меняет адрес назначения, зарегистрированный для Glacier Drop. Поэтому пользователи могут получить подходящие активы на свой новый адрес, тогда как последующие распределения Midnight останутся привязанными к скомпрометированному адресу.