하이퍼리퀴드(HYPE)의 치명적인 피해: 북한 해커들은 숨겨진 위험이 있고 KYC가 없는 중앙화된 거래소를 표적으로 삼았습니다.

MetaMask 安全人员 Taylor Monahan (@tayvano_) 警告了最近最热门的链上交易所 Hyperliquid 遭受北韩黑客的活动,引发了与 Hyperliquid 支持者社群的战火。在逐日稳健上涨的 HYPE 前,这无疑泼了一盆冷水,这并非社群所愿意看到的。Hyperliquid 与北韩黑客之间发生了什么事,Hyperliquid 又如何回应呢?

MetaMask 安全人员 Taylor Monahan：Hyperliquid 可能陷入大麻烦

MetaMask 安全人员 Taylor Monahan 在 12/23 披露,有被标注为北韩黑客的地址,进驻 Hyperliquid 进行交易,以 20 倍杠杆看多 ETH,最终惨赔 70 万美元收场。这对 Monahan 来说是个非常危急的信号:

"那些认为 Hyperliquid 的风险只是被美国政府冻结资金的都是傻瓜,北韩黑客是不会炒币的,他们只会'测试'。"

Monahan 告诉 Hyperliquid,她或是她的同事愿意提供协助,督促 Hyperliquid 快点硬起来,面对北韩黑客的侵袭。她表示,要是她是 Hyperliquid 仅有四个验证器的管理员,早就吓死了。

Hyperliquid 系统有风险的理由

Monahan 解释,Hyperliquid 验证器不超过 4 个,并且都运行相同的代码,也可能并置。集中式基础设施、构建系统等由数量不详的创办人、主管和工程师维护和造访,他们使用相同的设备访问所述系统,就像他们与人交谈、与 VC 通话、阅读 twitter 等一样。

初始输入将与往常相同:来自他们认识或应该知道的人的消息,其中包含目标应该阅读并希望阅读的引人注目的链接或文档。

她表示:"那会悄无声息地送入恶意软件。恶意软件将是相同的变体,我们以前见过。如果他们真的想快速行动,他们会利用 chrome 0day 来攻击,但在这里不是必需的,所以他们不会。"

她强调,攻击本身就是为了钱,只要他们取得造访权,就会窃取所有资金。你可以通过强化安全性来缓解风险,在这种情况下,教育、限制造访、监控、检测将大有可为。不要将鸡蛋放在同一个篮子中,别让所有人都用的预构建未签名二进制文件。这些也是 DeFi 协议从不做的事情,因为他们忙于审计他们的智能合约、做代币经济学和发推文。

"如果你不相信我,请询问团队是否每个可以造访关键系统的工程师都使用由 Hyperliquid 管理的专用设备。"答案会是否定的,Monahan 表示。那会是他们的个人装置,没有防毒软件 (AVS) 与端点检测与响应(EDR) 解决方案。事实上他们根本不知道自己有没有中毒,他们只知道还没有被黑走资金。

担心太多？先知告诉你快跑？

评论认为,Monahan 的假设如果是真的,那确实值得担心。但或许这一切基本的安全问题,Hyperliquid 都已经准备好了。

也有评论表示,自己曾多次成为朝鲜的目标。黑客不断尝试访问账户、钓鱼等。而 Monahan 是他求助的第一个人。如果她主动保护你,寻求帮助,那应该是可信的。许多相信 Monahan 的人们表示,虽然她讲话总是不好听,但她是非常关心产业安全的人,并且乐于助人。

尚未能预估的中心化风险

补充另一点可能风险,Hyperliquid 采取订单簿模式,尽管用户是使用自有钱包,但仍须将资金转入 Hyperliquid 才能交易;这意味着,当用户将资金安全转出至自有钱包后,才是自托管资产。本质上与中心化交易所类同,但当前的中心化交易所由于托管用户资金,具有防范洗钱与反恐的责任,做好 KYC (用户个资验证) 是基本条件。Hyperliquid 当前踩着链上应用的表象,若有北韩黑客等国际关注的资金涉入,确实可能带来进一步监管风险。

Hyperliquid 强势回应：没有问题

对于 Monahan 的警告,Hyperliquid 在 Discord 强势回应:

"Hyperliquid Labs 了解到有关据称由北韩 (DPRK) 地址活动的报告。此处澄清,Hyperliquid 并未遭受北韩攻击或任何形式的攻击。所有用户资金均已核对无误。

하이퍼리퀴드 랩스는 운영 보안(opsec)에 매우 주력해왔습니다. 현재까지 어떤 취약점도 보고되지 않았습니다. 과거와 마찬가지로 우리는 관대한 취약점 보고 보상 프로그램을 운영하고 있으며 업계 최고 수준의 블록체인 분석 기준을 적용하고 있습니다.

이전에 보안 관련 당사자들이 연락을 시도했다는 주장이 있었습니다. 그러나 하이퍼리퀴드가 공격을 받았다는 주장은 없었습니다. 해당 당사자는 사기 계정을 그룹 채팅에 추가하고 모욕적인 언어로 소통했습니다. 상대방의 전문성을 고려하여 개발팀은 신뢰할 수 있는 파트너와 교류하며 최선의 실무 기준을 준수하고 있음을 확인했습니다.

하이퍼리퀴드, 최근 대규모 USDC 유출 직면

통계에 따르면, 이 사건 이후 아비트럼에 구축된 하이퍼리퀴드에서 연속적으로 수천만 단위의 USDC가 유출되고 있습니다. 최대 20.6억 USDC까지 달했던 하이퍼리퀴드의 총 누적 자금은 현재 16.75억 USDC로 줄어들었습니다.

그러나 HYPE 토큰 자체는 영향을 받지 않아 약 5% 상승한 29.95달러를 기록하고 있습니다.