Squads Notfallwarnung: Adressenvergiftung, gefälschte Multi-Signature-Konten. Das Whitelist-Mechanismus wird live gehen

Solana-Ökosystem: Multisig-Protokoll Squads gab am 14. April auf der X-Plattform eine Warnung heraus. Dabei wurde festgestellt, dass Angreifer Adress-Poisoning-Angriffe gegen die Nutzer von Squads durchführen. Hierbei werden gefälschte Konten erzeugt, indem falsche und echte Multi-Sig-Adressen so manipuliert werden, dass jeweils die ersten und letzten Zeichen übereinstimmen. Dadurch werden Nutzer dazu verleitet, irrtümlich an bösartige Adressen Überweisungen zu tätigen oder nicht autorisierte Transaktionen zu signieren. Squads bestätigt, dass es derzeit keine Belege für einen Schaden an den Nutzerfonds gibt, und bezeichnet dies als Social-Engineering-Angriff auf Ebene der Schnittstelle, nicht als Sicherheitslücke auf Ebene des Protokolls.

Angriffsmechanismus im Detail: Wie eine zweischichtige Täuschungsstruktur gefälschte Konten erzeugt

Angreifer nutzen öffentliche Public-Key-Daten in der Blockchain und entwerfen eine doppelte Täuschungsarchitektur.

Erste Ebene: Zielnutzer automatisch zu gefälschten Multi-Sig-Konten hinzufügen Der Angreifer liest die Public Keys bestehender Squads-Nutzer aus der Kette aus und erstellt programmgesteuert neue Multi-Sig-Konten, in die der Zielnutzer als Mitglied aufgenommen wird. So wirkt das gefälschte Konto in der Benutzeroberfläche so, als würde der Nutzer „daran ordnungsgemäß beteiligt sein“, wodurch die Wachsamkeit des Zielnutzers sinkt.

Zweite Ebene: Kollisionsgenerierung von „Prestige“-Adressen mit identischen Anfangs- und Endzeichen Der Angreifer generiert mithilfe von Adress-Kollisionsberechnungen einen Public Key, der exakt mit den Anfangs- und Endzeichen der echten Multi-Sig-Adresse des Nutzers übereinstimmt. In Kombination mit dem habitualen Verhalten der meisten Nutzer, bei denen häufig nur die Anfangs- und Endzeichen der Adresse überprüft werden, verfügt das gefälschte Konto über eine beträchtlich hohe Erfolgsquote bei der visuellen Täuschung.

Squads stellt ausdrücklich klar, dass der Angreifer mit den oben genannten Methoden nicht direkt auf Nutzerfonds zugreifen oder sie kontrollieren kann. Alle Verlust-/Risiken entstehen ausschließlich dadurch, dass Nutzer nach der Täuschung selbstständig entsprechende Handlungen durchführen, nicht durch eine technische Protokoll-Übernahme.

Gestufte Gegenmaßnahmen von Squads

Sofortige Warnleiste: Innerhalb von zwei Stunden nach Entdeckung des Angriffs wird in der Benutzeroberfläche eine Warnleiste für Angriffe gegen verdächtige Konten angezeigt.

Alarm bei nicht interaktierenden Konten: Spezifische Hinweisprompts für Multi-Sig-Konten, mit denen der Nutzer bislang keinerlei Interaktion hatte, um das Risiko von Fehlbedienungen zu reduzieren

Einführung des Whitelist-Mechanismus: In den kommenden Tagen wird ein Whitelist-Mechanismus eingeführt. Nutzer können bekannte und vertrauenswürdige Multi-Sig-Konten eindeutig markieren; das System filtert automatisch unbekannte Konten heraus

Sofortige Empfehlung zum Schutz von Nutzern: Ignorieren Sie alle Multi-Sig-Konten, die nicht von Ihnen selbst erstellt wurden und auch nicht von vertrauenswürdigen Mitgliedern ausdrücklich als neu hinzugefügt bestätigt wurden. Führen Sie bei der Adressprüfung einen vollständigen Zeichen-für-Zeichen-Abgleich durch und verlassen Sie sich niemals nur auf eine visuelle Übereinstimmung der Anfangs- und Endzeichen.

Breiterer Hintergrund: Bedrohung durch Social Engineering im Solana-Ökosystem nimmt weiter zu

Der aktuelle Solana-Adress-Poisoning-Angriff auf Squads ist ein Teil der jüngst zunehmenden Sicherheitsbedrohung durch Social Engineering im Solana-Ökosystem. Zuvor ereignete sich der Drift-Protokoll-Vorfall, bei dem 285 Millionen USD gestohlen wurden. Die untersuchenden Stellen kamen zu dem Ergebnis, dass dies hauptsächlich auf Social Engineering zurückzuführen ist, nicht auf Schwächen im Smart-Contract-Code: Der Angreifer gab sich über Monate hinweg als legitime Handels-/Transaktionsfirma aus, gewann schrittweise Vertrauen und erhielt Zugriff auf Systemzugriffsberechtigungen.

Die Solana Foundation und Asymmetric Research haben hierfür das STRIDE-Sicherheitsprogramm gestartet, um fortlaufendes Monitoring und formale Verifizierung anstelle traditioneller einmaliger Audits zu ermöglichen. Außerdem wird ein Solana Event Response Network (SIRN) aufgebaut, um eine netzweite, sofortige Krisenreaktion im gesamten Netzwerk zu koordinieren. Nach dem Drift-Vorfall sehen sich Multi-Sig- und hochwertige Protokolle im Ökosystem einer strengeren Sicherheitsprüfung gegenüber. Das schnelle Reaktionsmodell von Squads liefert anderen Protokollen im Ökosystem ein Referenzvorbild für die Krisenreaktion.

Häufige Fragen

Was ist ein Adress-Poisoning-Angriff? Was ist an dem Squads-Fall besonders?

Adress-Poisoning-Angriff bezieht sich typischerweise darauf, dass Angreifer gefälschte Adressen erstellen, die den Zieladressen stark ähneln, um Nutzer zu Fehlhandlungen zu verleiten. Das Besondere am Squads-Fall ist, dass der Angreifer nicht nur Prestige-/„Eitelkeits“-Adressen kollisionsbasiert generiert, deren Anfangs- und Endzeichen übereinstimmen, sondern auch den Zielnutzer automatisch zu einem gefälschten Multi-Sig-Konto hinzufügt. Dadurch wirkt das gefälschte Konto wie eine legitime Organisation, an der der Nutzer „bereits teilnimmt“, wodurch die Täuschungsebene noch komplexer wird.

Gibt es Sicherheitslücken im Multi-Sig-Protokoll selbst?

Squads bestreitet Sicherheitslücken im Protokoll ausdrücklich. Der Angreifer kann weder mit der Adress-Poisoning-Methode auf die Multi-Sig-Kontofonds bestehender Nutzer zugreifen noch die Mitgliedereinstellungen eines bestehenden Multi-Sig-Kontos ändern. Dieser Angriff ist Social Engineering auf Ebene der Schnittstelle und beruht darauf, Nutzer zu selbstständigen Fehlhandlungen zu verleiten, nicht auf einem technischen Eindringen.

Wie können Nutzer solche Adress-Poisoning-Angriffe erkennen und sich davor schützen?

Die zentralen Schutzprinzipien sind drei: Erstens: Ignorieren Sie alle Multi-Sig-Konten, die nicht von Ihnen selbst erstellt wurden oder die nicht von vertrauenswürdigen Mitgliedern ausdrücklich hinzugefügt wurden. Zweitens: Führen Sie bei der Überprüfung von Adressen einen vollständigen Zeichen-für-Zeichen-Abgleich durch und verlassen Sie sich nicht nur auf eine visuelle Übereinstimmung der Anfangs- und Endzeichen. Drittens: Warten Sie, bis der Whitelist-Mechanismus von Squads online geht, und markieren Sie dann vertrauenswürdige Konten aktiv über die Whitelist, um die Zuverlässigkeit der Kontenerkennung zu verbessern.