Cardano With Paul preučuje omejitve povrnitve sredstev pri SecondFi

Uporabniki, prizadeti v junijskem varnostnem incidentu pri SecondFi, lahko zdaj preverijo, katera sredstva so na voljo za povrnitev, in zahtevajo dostavo v novo denarnico Cardano. Orodje je bilo zagnano 7. oktobra, ko SecondFi ukinja poslovanje. V svojem prikazu Cardano With Paul pojasni, kako postopek deluje in kje ne zadošča za odpravo preostale izpostavljenosti uporabnikov.

Kako deluje orodje za povrnitev SecondFi

SecondFi, prej znan kot Yoroi, ima ločena orodja za migracijo in povrnitev.

Migracija premakne sredstva, ki so še vedno v denarnici, medtem ko povrnitev obravnava upravičena sredstva, ki jih je prizadel incident. Sem sodijo tudi sredstva, ki so jih etični hekerji premaknili na varno z uporabo iste ranljivosti, kot so jo izkoristili zlonamerni napadalci.

Orodje za povrnitev preveri naslove prizadete denarnice, prikaže upravičena sredstva in ustvari kriptografski dokaz, ki poveže zahtevo z novim ciljem. SecondFi svetuje, naj se za obdelavo predvidi do pet delovnih dni.

Prejemni naslov mora pripadati na novo ustvarjeni denarnici Cardano, ki jo nadzira uporabnik, vključno s strojno denarnico. Naslovi za pologe na menjalnicah so izključeni.

Paul začetne preglede pokaže z začasno testno denarnico, ker nima na voljo prizadete denarnice. Njegov video zato obravnava vmesnik in objavljena navodila, ne da bi zaključil dejansko izplačilo. Poročal je tudi o nasprotujočih si poročilih o izidih povrnitve, zlasti za sredstva, ki so jih odvzeli zlonamerni napadalci in jih niso zavarovali etični hekerji.

Obnovitvene fraze in omejitve nadomestil

Postopek zahteva obnovitveno frazo prizadete denarnice, da se ustvari dokaz z ničelnim razkritjem znanja. Dokumentacija SecondFi opisuje lokalno obdelavo v brskalniku, pri čemer se namesto fraze pošlje dokaz. Paul postavlja pod vprašaj odločitev, da je vnos potreben prek spletnega mesta, in poudarja nevarnost posnemovalnih portalov. Vključena je le fraza stare denarnice. Novi cilj zahteva svoj javni prejemni naslov.

Ta razlika še ne pomeni neodvisne varnostne presoje. Ob času snemanja Paul ni poznal javno dostopne izvorne kode za orodje in se je zanašal na opis SecondFi o tem, kako ravna s poverilnicami denarnice.

Zneski povrnitve imajo tudi omejitve. Prikazana dodelitev je ocena in se lahko razlikuje od končnega vračila. Upravičeni NFT, zavarovani za povrnitev, se lahko vrnejo neposredno. Tisti, ki jih ni mogoče vrniti, prejmejo fiksno dodelitev 30 ADA na posamezen žeton, brez individualnega vrednotenja. Ciljnega naslova po oddaji ni mogoče spremeniti, uradni postopek pa ne zahteva niti pristojbine za povrnitev niti vnaprejšnjega prenosa sredstev.

Unovčenja Midnight ostajajo izpostavljena

Uporabniki, ki prek Glacier Drop pričakujejo dodatne žetone NIGHT, se soočajo z ločenim problemom. Dodelitve se odklepajo postopoma in so dostavljene na naslov Cardano, določen med prvotnim postopkom zahtevka. Premik obstoječega stanja denarnice drugam teh poznejših dostav ne preusmeri.

Paul razmišlja o tem, da bi žetone unovčil in jih takoj prenesel v drugo denarnico, vendar opisuje tekmo s časom z vsakim napadalcem, ki nadzoruje ogroženi naslov. Razpravlja tudi o plačilu pristojbin za unovčenje iz druge denarnice, kar bi žetone še vedno pustilo prispeti na prvotni cilj. Noben od pristopov ne odpravi tveganja, da jih napadalec prevzame, preden lahko imetnik ukrepa.

Navodila SecondFi opozarjajo, da se lahko prihodnja unovčenja NIGHT, poslana v prizadete denarnice, izpraznijo in morda ne bodo povrnjena. Uspešno izplačilo iz povrnitve ne obnovi varnosti teh denarnic in ne spremeni cilja, registriranega za Glacier Drop. Uporabniki lahko tako prejmejo upravičena sredstva na novem naslovu, medtem ko kasnejše razdelitve Midnight ostanejo vezane na ogroženi naslov.