Proxima — платформа для запуска токенов через 51 лаунчпад, управления кошельками и автоматизации торговли. В пост-мортеме компания относит атаку к промежутку с 03:22 до 05:42 UTC 14 ноября. Ущерб ограничился балансами SOL: по утверждению Proxima, токены и средства в EVM-сетях злоумышленники не украли. Затронуто около 0,1% кошельков платформы.
Почему ключи оказались в логах?
Proxima называет три причины. С 3 по 10 ноября, до 13:20 UTC, в логах SigNoz записывались материалы приватных ключей. В продакшене временно повысили уровень логирования до debug для мониторинга производительности, и отладочные записи незаметно попали в сервис. Логирование отключили 10 ноября, но из-за 15-дневного срока хранения записи оставались в SigNoz к моменту атаки.
Сам сервис работал на устаревшей версии с публично раскрытой уязвимостью, которая позволяла читать сохранённые данные без аутентификации. Правило Cloudflare WAF, закрывавшее мониторинг от публичного интернета, по ошибке удалили. Злоумышленник выгружал логи с 02:16 до 05:30 UTC 14 ноября и одновременно опустошал кошельки. Proxima утверждает, что её основные базы данных и ключевые системы напрямую не взламывали.
«Мы признаём, что чувствительный материал приватных ключей не должен был попадать в диагностические логи», — говорится в пост-мортеме.
Что делать пользователям?
Кошельки с метками Compromised и Possibly exposed собраны в папки COMPROMISED и UNCERTAIN. Компания просит не пользоваться ими и не отправлять туда средства. Каждый такой кошелёк заменён новым, ключа которого не было в логах. По данным Proxima, балансы SOL и большую часть токенов перенесли на замену; несколько крупных токеновых позиций компания оставила в исходных кошельках и разбирает с владельцами отдельно. Если кошелёк использовался и за пределами Proxima, его ключ тоже стоит считать скомпрометированным.
Автоматические сессии автопродажи, автопокупки, маркет-мейкинга и объёмных торгов приостановлены как мера предосторожности. Их нужно проверить и запускать вручную уже с новых кошельков. По данным Proxima, все 181 пострадавший получили возмещение: каждому аккаунту создан отдельный кошелёк с точной суммой украденного SOL, а деньги компания выплатила из собственных средств.
Круг риска тоже уточнён. В первом обновлении 14 ноября Proxima писала, что под потенциальным риском могут быть кошельки, созданные, импортированные или экспортированные за последние 15 дней. Пост-мортем говорит иначе: решает попадание ключей в логи 3–10 ноября, поэтому под удар могли попасть и более старые кошельки, если их ключи использовались в этот период. Кошельки, созданные после 10 ноября 13:20 UTC, в эту утечку не попали.
Среди новых мер — обязательная двухфакторная аутентификация для экспорта приватных ключей, сброс активных сессий и ротация инфраструктурных учётных данных. Публичный доступ к сервису мониторинга закрыт, уязвимый компонент SigNoz исправлен, а чувствительные данные из логов исключены.
