Только недавно специалисты Qihoo 360 рассказали сразу о нескольких проблемах, обнаруженных в коде блокчейн-платформы EOS. Теперь неправильно сконфигурированные ноды EOS атакуют неизвестные хакеры и пытаются завладеть приватными ключами, которые могут "утекать" из-за ошибок в конфигурации API.
Как ни странно, с обнаружением уязвимостей специалистами Qihoo 360 это не связано. Более того, разработчики EOS уже сообщили, что "эпические уязвимости" исправлены и были далеко не так страшны.
Dan Larimer confirms the “Epic” EOS vulnerability is fixed and the reporting is FUD. Facts. $EOS #EOSIO pic.twitter.com/Yp6gJrOQd7
— rektkid (@rektkid_) May 29, 2018
Подозрительные сканирования первыми заметили специалисты компании GreyNoise. По их данным, атаки начались вчера, 29 мая 2018 года. Неизвестные действуют с IP-адреса 185[.]169[.]231[.]209.
If you run an @EOS_io node, be aware of an actor at 185[.]169[.]231[.]209 sweeping the Internet for unauthenticated EOS RPC daemons on TCP/8888, specifically the /v1/wallet/list_keys endpoint.
— GreyNoise Intelligence (@GreyNoiseIO) May 29, 2018
Исследователи пишут, что атакующие сканируют сеть в поисках неаутентифицированных демонов EOS RPC на TCP/8888, а именно их интересует эндпоинт /v1/wallet/list_keys.
Как уже было сказано выше, атаки не связаны с недавней публикацией экспертов Qihoo 360 и обнаружением ряда багов. Вместо этого злоумышленники "вдохновлялись" баг репортом, опубликованным на GitHub несколько дней назад. В отчете как раз сообщается, что из-за проблем с эндпоинтом EOS RPC API приватные ключи от аккаунтов EOS могут быть случайно раскрыты. Дело в том, что эта часть эндпоинт-API не защищена никакой процедурой аутентификации, из-за чего ключи могут быть раскрыты публично доступным интерфейсом нодов EOS.
Злоумышленники, сканирующие сеть в поисках нодов EOS, определенно читали баг репорт и решили испытать удачу.
Однако разработчики EOS, чей ответ так же можно увидеть на GitHub, уверяют, что все не так уж плохо. Они пишут, что проблемный эндпоинт является не стандартной функцией, но частью wallet_plugin. Данный API плагин предназначен для проведения различных тестов и вряд ли многие разработчики используют его в настоящее время (особенно на "боевых" нодах) и тем самым подвергаются потенциальной опасности.
