Исследователи нашли недостатки в настройках безопасности OKX

Быстрый анализ настроек безопасности пользователей OKX выявил проблемы, которые в случае потенциальной атаки могут обернуться потерей средств. Исследование провела группа энтузиастов Web3-безопасности.

看到近期发生的几起 OKX 用户安全事件，作为普通用户，我们对攻击发生的原因充满好奇，于是尝试花了半个小时对 OKX 的用户安全设置做了一遍快速分析，结果让人非常意外。

注：本次分析的实施时间为新加坡时间2024年6月10日下午5点。

— Dilation Effect 膨胀效应 (@dilationeffect) June 10, 2024

Аналитики провели анализ 10 июня 2024 года, потратив на него полчаса. За это время выяснилось, что система позволяет обойти Google Authenticator и переключаться на проверки с более низким уровнем безопасности (SMS, добавление адреса в белый список и т. д.).

Действия пользователя вроде отключения проверки телефона, Google Authenticator и изменения пароля не приводят к 24-часовой блокировке вывода средств. Запрет срабатывает только при входе в систему на новом устройстве, говорится в отчете.

При выводе активов с адресов из белого списка не используется динамическая проверка на основе суммы. Исследователи приводят в пример другие биржи, которые устанавливают лимит, требующий повторной верификации для больших объемов вывода.

«Эти проблемы обнаружены в результате быстрого анализа. Видно, что в настройках безопасности OKX отсутствует базовый дизайн. Возможно, чтобы улучшить взаимодействие с пользователем [биржа] пошла на множество компромиссов в области безопасности», — предположили авторы отчета.

Ранее журналист Колин Ву сообщил о клиенте OKX, у которого украли более $2 млн с помощью ИИ.

Напомним, в начале июня CISO SlowMist под ником 23pds представил рейтинг причин, по которым индивидуальные и институциональные инвесторы теряют свои цифровые активы. 

Тред последовал после подробного разбора инцидента с кражей у трейдера на Binance криптовалюты на $1 млн. Причиной потери стало вредоносное расширение для браузера Chrome, однако пользователь предъявил претензии к бирже.

Соучредительница Binance Йи Хэ не признала ответственности платформы за инцидент. Она отметила, что хакер манипулировал устройством самого трейдера через плагин, и команда биржи не могла повлиять на ситуацию.