Ошибка в одной строке кода на GitHub и минус почти 2 млн долларов

Злоумышленники взломали механизм проверки состояния блокчейна и вывели около 1,7 миллиона долларов с мостов сети. Эксперт «Группы Астра» Эдуард Тихомиров, рассказал, что необходимо предпринять для предотвращения подобных инцидентов.

Мосты переносят активы между блокчейнами: средства блокируются в одной сети и выпускаются в другой по криптографическому доказательству, что перевод действительно состоялся. Атакующий научился подделывать такие доказательства. Фальшивые запросы на вывод принимались в сети Ethereum, хотя никаких реальных вкладов в Taiko им не соответствовало, пишет Securitylab.

Эдуард Тихомиров, технический директор GitFlic (входит в «Группу Астра») подчеркнул, что инцидент с Taiko наглядно показывает, как одна небрежность при работе с репозиторием, случайно опубликованный закрытый ключ, приводит к многомиллионным потерям.

«Это не уникальный сценарий: утечка секретов через публичный Git-репозиторий остается одной из наиболее распространенных причин компрометации систем. Для предотвращения подобных инцидентов существуют ИБ-инструменты. Один из них — Gitleaks, SAST-инструмент с открытым исходным кодом, который автоматически обнаруживает пароли, токены и ключи до того, как они попадут в репозиторий. Он интегрируется через pre-receive хуки — как на GitHub, так и в GitFlic.

Использование таких инструментов напрямую соответствует принципам РБПО (безопасной разработки ПО): ГОСТ Р 56939 предписывает встраивать проверки безопасности непосредственно в процесс разработки, а не проводить их постфактум. Автоматический контроль секретов на уровне коммита — один из базовых элементов такого подхода, позволяющий выявлять уязвимости там, где их исправление обходится дешевле всего», — говорит эксперт Эдуард Тихомиров.