Die Verus-Ethereum-Bridge wurde zum zweiten Mal innerhalb von zwei Monaten Opfer eines Angriffs, bei dem Angreifer digitale Vermögenswerte im Wert von 7,3 bis 7,5 Millionen US-Dollar entwendeten.
Verus Bridge erleidet zweiten Hackerangriff innerhalb von 66 Tagen – die Sicherheitslücke treibt die Gesamtverluste auf 19,1 Mio. US-Dollar
GESCHRIEBEN VON
TEILEN
Das Wichtigste im Überblick
- Am 23. Juli nutzten Angreifer eine Schwachstelle in der Verus-Ethereum-Bridge aus und erbeuteten digitale Vermögenswerte im Wert von 7,5 Millionen US-Dollar.
- Der Vorfall unterstreicht die Risiken im DeFi-Bereich, wo kryptografische Nachweise zwar bestehen, die Absicherung durch Vermögenswerte jedoch versagt.
- Nutzer sollten die Verus-Kanäle im Auge behalten, um auf dem Laufenden zu bleiben, während die Protokolle die Logik zur Zustandsprüfung korrigieren müssen.
Fehlerhafte Logik hinter dem Angriff
Der Smart Contract der Verus-Ethereum-Bridge wurde am Donnerstag erneut ausgenutzt, wobei Angreifer laut Blockchain-Sicherheitsforschern digitale Vermögenswerte im Wert von 7,3 bis 7,5 Millionen US-Dollar entwendeten. Der Vorfall ist bereits der zweite Angriff auf denselben Vertrag und dieselbe Schwachstelle innerhalb von zwei Monaten. Am 17. Mai stahlen Angreifer mit einer ähnlichen Methode etwa 11,6 Millionen US-Dollar, wodurch sich die Gesamtverluste auf rund 19,1 Millionen US-Dollar beliefen.
Sicherheitsanalysten erklärten, der Angriff habe einen böswillig gestalteten Import von der Verus-Seite beinhaltet, der eine nicht gedeckte Auszahlungsanforderung auf Ethereum enthielt. Die Bridge überprüfte Notarsignaturen, State Roots und Merkle-Beweise, versäumte es jedoch, zu verifizieren, ob der angeforderte Auszahlungsbetrag mit den auf der Verus-Seite gesperrten oder exportierten Vermögenswerten übereinstimmte.
Laut Backward Labs lag die Hauptursache in einer Umgehung der Autorisierung und einem Problem bei der Annahme des Protokollzustands. Die Brücke akzeptierte einen validierten Import, der Auszahlungen aus der Multi-Asset-Reserve autorisierte, doch kritische vorgelagerte Prüfungen hinsichtlich Erstellung, Autorisierung, Transfer-Hash, Anzahl und wirtschaftlicher Deckung waren unzureichend. In einer Analyse hieß es:
„Diesmal blieb dieselbe Grundursache 66 Tage lang ausnutzbar.“
Zu den aus den Reserven der Bridge abgezogenen Vermögenswerten gehörten Ether, tBTC, MKR, USDC, Tether, EURC und scrvUSD. Im Falle von DAI interagierte die Bridge mit einer Sicherheitenposition bei Sky (ehemals MakerDAO), um rund 220.357 DAI zu prägen und damit die betrügerische Anfrage zu erfüllen.
Mehrere Überwachungstools stuften die Transaktion als kritisch ein und führten dabei Zustandsmanipulation, willkürliche Prägung sowie Abflüsse aus dem Bereich der dezentralen Finanzen (DeFi) an.
Backward Labs veröffentlichte einen Bericht und einen Proof-of-Concept, in denen die verletzte Invariante hervorgehoben wurde: „Ethereum-Brückenreserven dürfen nur für Reservetransfers aus der Quellkette freigegeben werden, bei denen die CCE-Erstellung, die Autorisierung, der Transfer-Hash, die Anzahl und die wirtschaftliche Absicherung alle im Rahmen des erwarteten Brückenlebenszyklus nachgewiesen sind.“
Der Exploit verdeutlicht die anhaltenden Sicherheitsherausforderungen bei kettenübergreifenden Brücken, bei denen die kryptografische Verifizierung zwar erfolgreich ist, die Validierung der Geschäftslogik hinsichtlich der Absicherung der Vermögenswerte jedoch versagt. Exploits bei Brücken sind nach wie vor ein wiederkehrendes Problem im DeFi-Bereich und führen oft zu unwiederbringlichen Verlusten, da Blockchain-Transaktionen unveränderlich sind.
Dieser Artikel wurde mithilfe von KI aus dem Englischen übersetzt. Die englische Originalversion ist die maßgebliche Quelle; automatische Übersetzungen können Ungenauigkeiten enthalten, insbesondere bei rechtlicher und regulatorischer Terminologie.
