Взлом, из-за которого до этого на текущей неделе было организовано 1 миллиардов wrapped-токенов Polkadot ($DOT), оказался намного серьёзнее, чем сообщалось вначале. Про это заявила команда Hyperbridge.
Вначале вред оценивали приблизительно в $237 000, но сейчас было установлено, что настоящие утраты поближе к $2,5 млн. Это больше чем в 10 раз больше первых оценок.
В постмортеме, размещенном в четверг, команда рассказала, что злодей пользовался незащищенностью в механизме проверки MMR-доказанных фактов.
«Атакующий употреблял баг в логике подтверждения Merkle Mountain Range (MMR), что дало возможность ему выпускать активы и выводить средства из escrow через Token Gateway», — сказали создатели.
Поначалу команда оценивала утраты приблизительно в $237 000. Данная цифра основывалась на том, сколько токенов $DOT сходу начали сливать в сети Ethereum.
Позднее стало ясно, что картина была неполной.
Кроме этих $237 000, злодей ещё до главного взлома вывел 245 $ETH, это около $561 000. Кроме того, атака затронула сходу несколько сетей. Пострадали Base, Arbitrum и BNB Chain, однако вначале команда рассказывала, что трудность касается только wrapped-$DOT в сети Ethereum.
После полного изучения прояснилось, что атака проходила в два шага и затронула сходу несколько источников платежеспособности, в том числе incentive-пулы.
«После сверки активности атакующего во всех четырёх сетях и учёта всех шагов атаки общий вред составил около $2,5 млн в $ETH и $DOT на момент взлома», — сказали создатели.
Похищенные средства получилось отследить. Они были переведены на депозитный адрес Binance. На данный момент команда уже связалась с биржей и органами охраны правопорядка, чтоб попробовать заморозить активы.
При всем этом резвого результата они не ждут.
Читайте также: Нефть обрушилась, bitcoin и акции вырастают после обращения Ирана о проливе Ормуз
Команда сообщила, что будет применять все вероятные методы для возврата средств. Однако при всем этом признаёт, что подобные ситуации не решаются стремительно.
«Мы используем все доступные каналы, но в схожих ситуациях на восстановление средств обычно уходят месяцы, время от времени до года», — подчеркнули создатели.
Главная задача на данный момент — восполнить убытки пользователям. Если возвратить похищенные средства не получится, команда планирует покрыть остаток через распределение токенов BRIDGE.
Трудность в том, что сам токен практически не торгуется. За прошедшие 24 часа объём составил всего около $1800, при стоимости приблизительно $0,006 на конец марта.
При таковых значениях его капитализация располагается на уровне $858 000. Это приблизительно третья часть от общего вреда, который нанёс взлом.
Работа моста в затронутых сетях пока всецело остановлена. Говорится о четырёх блокчейнах. Пуск возвратят только после того, как выпустят патч и проведут аудит.
Читайте также: CFTC инспектирует сделки с нефтью перед обращениями Дональда Трампа
При всем этом команда не не согласилась от собственной позиции по кроссчейн-решениям.
«Мы как и раньше полагаем, что неопасная работа меж блокчейнами вероятна только через криптографические подтверждения», — сообщили создатели.
Однако сам происшествие показал слабенькое место.
«Данный взлом наглядно продемонстрировал, что логику подтверждения необходимо инспектировать еще почаще и жёстче на каждом уровне системы. Конкретно по такому эталону Token Gateway будет работать далее», — сообщили они.
В общем положение дел снова поднимает вопрос о безопасности кроссчейн-решений. Невзирая на их известность, конкретно мосты остаются среди наиболее уязвимых частей всей криптоинфраструктуры.
Подобные атаки происходят часто, и практически всякий раз трудность оказывается не в самой мысли, а в реализации. Даже маленькая ошибка в логике проверки либо сотрудничества договоров может привести к масштабным потерям.
При всем этом интерес к кроссчейн-технологиям никуда не исчезает. Наоборот, по мере роста экологических систем надобность в стремительных и комфортных переводах меж сетями только усиливается. Это создаёт неизменный конфликт меж удобством и безопасностью.
Читайте также: Bitwise запускает ETP на Avalanche с эффективностью от стекинга
История с Hyperbridge ещё раз указывает, что 1-го аудита недостаточно. Проекты обязаны пересматривать подход к тестированию и учесть сценарии нападений, которые ранее числились сомнительными.
В скором времени рынок, вероятнее всего, станет ещё больше взыскательным к схожим решениям. Пользователи и финансисты уже не готовы закрывать глаза на опасности, в особенности когда говорится о миллионах долларов.
И пока промышленность отыскивает баланс, мосты остаются сразу главный частью Web3 и его самым слабеньким звеном.