La piattaforma di scienza decentralizzata Pump Science ha emesso una scusa pubblica dopo che una significativa violazione della sicurezza ha portato alla creazione di token fraudolenti. L'incidente è stato attribuito a una chiave privata trapelata su GitHub, che ha permesso a un hacker di sfruttare il profilo della piattaforma e generare token non autorizzati.
Principali punti da ricordare
-
La chiave privata di Pump Science è stata trapelata su GitHub, portando alla creazione di token fraudolenti.
-
L'azienda ha cambiato il nome del proprio profilo per prevenire ulteriori truffe.
-
È stata stabilita una partnership con la società di sicurezza blockchain Blockaid per una protezione futura.
Panoramica dell'incidente
Il 27 novembre, durante una sessione di ask-me-anything (AMA), Benji Leibowitz di Pump Science ha riconosciuto la gravità della situazione, affermando: "Non vogliamo sminuire quanto sia stato un pasticcio questo." Ha sottolineato che l'azienda non lancerà mai più token sul profilo compromesso di Pump.fun.
La violazione è avvenuta quando le chiavi private collegate al profilo di Pump.fun sono state involontariamente esposte su GitHub. Questa svista ha permesso a un attaccante noto di creare token fraudolenti, tra cui Urolithin B fino a Urolithin E ($URO) e Cocaina ($COKE). In risposta, Pump Science ha esortato gli utenti a evitare qualsiasi nuovo token lanciato dal profilo compromesso, chiarendo che questi token non erano stati creati dal loro team.
Misure di risposta
Per mitigare le conseguenze di questo incidente, Pump Science ha adottato diverse azioni immediate:
-
Cambio del nome del profilo: Il profilo di Pump.fun è stato rinominato in "dont_trust" per dissuadere gli utenti dall'acquistare token fraudolenti.
-
Partnership con Blockaid: L'azienda ha collaborato con la società di sicurezza blockchain Blockaid per monitorare e segnalare eventuali nuovi mint provenienti dall'indirizzo compromesso.
-
Audit e miglioramenti della sicurezza: Pump Science prevede di condurre un audit completo del proprio front end e implementare un programma di bug bounty per i test di penetrazione. I futuri lanci di token avverranno solo dopo audit approfonditi dell'app e dei contratti intelligenti.
Colpe e responsabilità
Pump Science ha parzialmente attribuito la fuga a BuilderZ, una società di software basata su Solana, che ha erroneamente lasciato la chiave privata per il portafoglio degli sviluppatori nel proprio codice su GitHub. Tuttavia, l'azienda ha chiarito che l'attaccante non poteva essere BuilderZ, poiché il metodo utilizzato per portare i token sulla catena di Solana differiva dai loro processi.
Invece, Pump Science sospetta che l'hacker possa essere collegato a un incidente precedente che coinvolge James Pacheco, un fondatore della piattaforma di tokenizzazione delle merci basata su Solana "elmnts."
Prospettive future
Guardando al futuro, Pump Science mira a ripristinare la fiducia degli utenti e migliorare i propri protocolli di sicurezza. L'azienda è impegnata a garantire che i nuovi token vengano lanciati solo dopo che sono stati completati audit completi, con la speranza di avere queste misure in atto entro le festività.
Pump Science si specializza nel trading di token associati a medicinali per la longevità, con le attuali offerte che sono Rifampicina (RIF) e Urolithin A (URO). Questi token hanno capitalizzazioni di mercato di 85,6 milioni di dollari e 37,2 milioni di dollari, rispettivamente, secondo i dati di CoinGecko. La Rifampicina è principalmente utilizzata per trattare la tubercolosi, mentre l'Urolithin A è riconosciuto per i suoi potenziali benefici per la salute come integratore alimentare.
Man mano che il settore della scienza decentralizzata continua a evolversi, incidenti come questo evidenziano l'importanza critica della sicurezza e della trasparenza nello spazio blockchain.