Topowa giełda ma groźną lukę w swojej aplikacji na iOS. Co zaleca się użytkownikom?

Giełda kryptowalut OKX i firma zajmująca się cyberbezpieczeństwem na rynku blockchaina – CertiK – ujawniły wczoraj, groźną lukę w portfelu OKX, który jest dostępny dla użytkowników systemu iOS. Co muszą zrobić posiadacze tej aplikacji? I, najważniejsze pytanie, czy ich środki są bezpieczne?

---

OKX i groźna luka

Powyższą informację ogłoszono w dniu 19 grudnia. CertiK napisało wtedy na X:

Uwaga! Zachęcamy użytkowników portfeli OKX do natychmiastowej aktualizacji aplikacji na iOS do najnowszej wersji. Na początku tego miesiąca zidentyfikowaliśmy i zgłosiliśmy krytyczną lukę w zabezpieczeniach (…).

Błąd ów prowadzić może do “potencjalnego naruszenia poufnych danych i zasobów kryptowalut”.

🚨 Attention! We urge users of OKX wallets to update their iOS app to the latest version immediately. Earlier this month, we identified and reported a critical Remote Code Execution (RCE)  vulnerability in the OKX iOS App,  leading to potential compromise of sensitive data and…

— CertiK (@CertiK) December 19, 2023

Innymi słowy, luka może doprowadzić do kradzieży cyfrowych aktywów, jakie znajdują się w portfelu OKX.

W osobnym ogłoszeniu firma przekazała, że wdrożyła aktualizację, która niweluje problem. Dodano, że błąd nie miał wpływu na fundusze klientów.

Czy problem jest związany z wcześniejszym atakiem na zdecentralizowaną platformę (DEX) OKX? Doszło do niego w dniu 12 grudnia i zakończył się stratą w wysokości 2,7 miliona USD. Najbardziej zainteresowani twierdzą, że nie.

Kontrowersje dot. działań CertiK

Wszystko nie obyło się jednak bez kontrowersji. Działanie CertiK – szybkie poinformowanie o luce – zostało skrytykowane przez kierownika MetaMask, Taya Monahana. Zwrócił uwagę na ryzyko dot. ujawnienia problemu w dniu wydania poprawki.

Czekaj, czekaj, czekaj, czekaj, czekaj… Ile czasu zajmuje bazie użytkowników [OKX] uzyskanie (…) aktualizacji? Wdrażanie aktualizacji wymaga czasu. To tygodnie, miesiące. A mimo to ujawniacie, że istnieje [luka w zabezpieczeniach] (…)?

– napisał.

Kontrowersję budzi też data i terminy działania firm. CertiK podało, że odpowiednia aktualizacja została wdrożona 19 grudnia (w App Store znajduje się wersja 6.46.0, co sugeruje, że to dopiero ona zawiera “łatkę”).

OKX stwierdziło zaś, że aktualizacja została wdrożona w wersji 6.45.0, która została wydana 11 grudnia. Szczegóły w sklepie App Store nie wskazują, która aktualizacja faktycznie zawiera poprawkę. Najlepiej więc zainstalować 6.46.0. Pytanie tylko, kiedy OKX faktycznie wprowadziło aktualizację.

Obecnie platforma OKX zajmuje 10. miejsce w rankingu “zaufania” giełd kryptowalut w rankingu CoinGecko. Po ostatnich incydentach jej wynik może okazać się jednak znacznie gorszy…