Das DeSci-Projekt Pump Science wurde nach einem privaten Schlüsselleck ausgenutzt

von

Als erfahrener Krypto-Investor mit über einem Jahrzehnt Erfahrung in diesem sich ständig weiterentwickelnden digitalen Bereich muss ich zugeben, dass mich der jüngste Vorfall mit Pump Science etwas entmutigt und misstrauisch gemacht hat. Die Nachlässigkeit, die BuilderZ an den Tag legt, indem es private Schlüssel in seiner GitHub-Codebasis offenlegt, ist eine deutliche Erinnerung an die Bedeutung der Sicherheit in dieser Branche.

warnt Benutzer vor gefälschten Token, die über das Pump.fun-Konto auf der dezentralen Plattform von Pump Science verbreitet werden, nachdem der private Schlüssel auf GitHub unbefugt offengelegt wurde

Laut der Ankündigung vom 27. November hat sich der Hacker aufgrund einer Sicherheitsverletzung auf GitHub Zugriff auf private Schlüssel verschafft, die mit seinem Konto auf Pump.fun verknüpft sind. Dies ermöglichte es ihnen, unter dem kompromittierten Profil von Pump Science gefälschte Token wie Urolithin B bis E (URO) und Kokain (COKE) herzustellen.

Die Plattform von Pump Science konzentriert sich auf die Entwicklung von Token, die mit Studien auf dem Gebiet der Langlebigkeitsmedizin verknüpft sind. Das Projekt präsentiert sich als unterhaltsames und interaktives Langlebigkeitsforschungsprogramm. Sein Ziel ist es, Token-Inhaber mit Eigentumsrechten für chemische Verbindungen zu vereinen und ihnen die Möglichkeit zu geben, „Interventions“-Rechte an Lieferanten zu verkaufen. Im Wesentlichen führt es Forschung und Handel zusammen, indem es die Kommerzialisierung von Forschungsergebnissen ermöglicht.

In diesem Projekt haben wir nur zwei Wirkstoffe eingeführt: Rifampicin (oft als Rifampin bezeichnet) und Urolithin A. Rifampicin ist ein Antibiotikum, das hauptsächlich zur Behandlung von Tuberkulose eingesetzt wird, während Urolithin A auf seine potenziellen Vorteile bei der Verbesserung der Mitochondrienfunktion und der Muskulatur untersucht wird Gesundheit. Leider sank der Wert von Rifampicin und Urolithin A nach einer Sicherheitsverletzung um mehr als 25 %.

Laut Pump Science wird Benutzern empfohlen, keine neuen Token zu kaufen oder damit zu interagieren, die vom „pscience PumpFun“-Konto stammen, da der Hacker angeblich die Kontrolle über die gehackte digitale Geldbörse behält.

Nach den Erkenntnissen der Untersuchung nach dem Angriff scheint es, dass die mit dem Benutzerkonto verknüpften privaten Schlüssel versehentlich offengelegt wurden, als sie in den GitHub-Quellcode des Projekts eingefügt wurden.

Laut Pump Science war die Quelle des Lecks ein Fehler von BuilderZ, einem Softwareentwicklungsunternehmen, das für dieses Projekt an der Solana-Plattform arbeitet. Sie haben versehentlich den privaten Schlüssel für ihre Entwickler-Wallet („T5j2U…jb8sc“) im GitHub-Code hinterlassen, den sie öffentlich geteilt haben. Zunächst ging BuilderZ davon aus, dass die Schlüssel mit einer Test-Wallet verbunden seien, und hielt sie daher für unwesentlich.

[BuilderZ] hat den privaten Schlüssel für T5j achtlos in der Codebasis des Projekts platziert, in der Annahme, dass es sich nicht um die Entwicklungs-Wallet handelte. Aufgrund der Funktion, die die kostenlose Token-Erstellung auf http://pump.fun ermöglicht, schien dieser Schlüssel jedoch mit dem Frontend des Projekts verknüpft zu sein.“ (Projekterklärung)

Pump Science hat kürzlich sein Pump.fun-Profil in „dont_trust“ umbenannt und sich mit dem Blockchain-Sicherheitsunternehmen Blockaid zusammengetan. Ziel dieser Zusammenarbeit ist es, gefälschte Münzen, die von der kompromittierten Adresse stammen, zu identifizieren und davor zu warnen, um so weiteren Missbrauch oder Ausbeutung zu verhindern.

Um Sicherheitsprobleme zu lindern, hat sich die Plattform verpflichtet, eine gründliche Überprüfung ihrer Benutzeroberfläche (UI) durchzuführen und beabsichtigt, Bug-Bounty-Wettbewerbe zur Schwachstellenbewertung auszurichten. Darüber hinaus erfolgen alle zukünftigen Token-Veröffentlichungen nach umfassenden App- und Smart-Contract-Bewertungen. Die Plattform erklärte außerdem, dass sie in Zukunft keine Token mehr auf Pump.fun veröffentlichen wird.

Als Forscher habe ich aufgrund der Art und Weise, wie wir mit der jüngsten Datenpanne umgegangen sind, eine erhebliche Gegenreaktion auf unser Projekt beobachtet. Einige Mitglieder der Community haben uns Unehrlichkeit vorgeworfen und es als Betrug bezeichnet, während andere Zweifel an unserer operativen Leistungsfähigkeit geäußert haben. Die geäußerten Bedenken sind bemerkenswert und erfordern eine weitere Untersuchung.

„den privaten Schlüssel in der Codebasis belassen“ FML. Das Projekt hat es verdient, auf Null zu gehen.

– scudza ( , ) (@Jarred_Za) 26. November 2024

Der Verlust privater Schlüssel ist einer der Hauptgründe für Sicherheitsverstöße im dezentralen Bereich. Nach Angaben des Blockchain-Analyseunternehmens CertiK waren diese Lecks im dritten Quartal 2024 die zweitteuerste Angriffsart und verursachten bei zehn verschiedenen Vorfällen einen Diebstahl von insgesamt 324,4 Millionen US-Dollar.

Weiterlesen

2024-11-28 10:47