OKX DEX Proxy-Admin-Kompromiss

Am 13. Dezember 2023 verlor der OKX-DEX-Aggregator etwa 2,7 Millionen $ an Nutzergeldern, nachdem ein veralteter privater Proxy-Admin-Schlüssel kompromittiert wurde. Der Angreifer nutzte ihn, um den OKX-DEX-Proxy auf eine bösartige Implementierung zu aktualisieren, die Tokens aus Wallets abzog, die dem Aggregator Genehmigungen erteilt hatten.

Was geschah

OKX' DEX-Verträge verwendeten einen aktualisierbaren Proxy. Ein alter Proxy-Admin-Schlüssel, der hätte stillgelegt werden sollen, behielt Upgrade-Autorität. Der Angreifer erlangte ihn, pushte eine bösartige Implementierung, und der aktualisierte Vertrag erlaubte beliebige transferFrom gegen die (sehr große) Menge an Wallets mit bestehenden OKX-DEX-Genehmigungen. ~2,7 Mio. $ wurden abgezogen, bevor OKX den Proxy-Admin widerrief und pausierte.

Folgen

• OKX rotierte den Proxy-Admin, pausierte den Vertrag und verpflichtete sich, betroffene Nutzer vollständig zu entschädigen.
• Die meisten betroffenen Nutzer wurden aus OKX-Unternehmensmitteln entschädigt.

Warum es wichtig ist

OKX DEX kombiniert zwei wiederkehrende Katalog-Lektionen: (1) Veraltete Schlüssel sind aktive Schlüssel, bis sie explizit widerrufen werden (vgl. Wintermutes nicht widerrufene Profanity-Rolle, Gala Games' ruhender Minter), und (2) aktualisierbare, approval-haltende Verträge erweitern das Nutzervertrauen auf alle zukünftigen Implementierungen. Der DEX-Aggregator einer großen Börse hält einen riesigen Pool an bestehenden Genehmigungen; ein einzelner vergessener Upgrade-Schlüssel verwandelt diesen Pool in den Explosionsradius. Die Erstattung-aus-Treasury-Reaktion ist bis 2023 das Überlebens-Basisverhalten, das der Katalog wiederholt dokumentiert.