Verus-Ethereum Bridge’i tabas kahe kuu jooksul juba teine rünnak, mille käigus ründajad viisid ära 7,3–7,5 miljonit dollarit erinevates digitaalsetes varades.
Verus Bridge’i tabas 66 päeva jooksul juba teine turvaauk, mille tagajärjel kasvasid kogukahjud 19,1 miljoni dollarini
KIRJUTAS
JAGA
Peamised järeldused
- 23. juulil kasutasid ründajad ära Verus-Ethereum Bridge'i turvaaugu, varastades 7,5 miljonit dollarit väärtuses digitaalseid varasid.
- See rikkumine rõhutab DeFi-riskide olemasolu, kus krüptograafilised tõendid läbivad kontrolli, kuid varade tagatis ei pea paika.
- Kasutajad peaksid jälgima Veruse kanaleid uuenduste saamiseks, samas kui protokollid peavad parandama seisundi kontrollimise loogikat.
Rikkumise taga peituv vigane loogika
Blockchaini turvalisuse uurijate andmetel kasutati neljapäeval taas ära Verus-Ethereum Bridge'i nutilepingut, mille käigus ründajad varastasid erinevaid digitaalseid varasid 7,3–7,5 miljoni dollari väärtuses. See intsident on sama lepingu ja turvaaugu teine rikkumine kahe kuu jooksul. 17. mail varastasid ründajad sarnast meetodit kasutades ligikaudu 11,6 miljonit dollarit, mis tõi kogukahju suuruseks umbes 19,1 miljonit dollarit.
Turvalisuse analüütikute sõnul hõlmas rünnak Veruse poolelt pahatahtlikult koostatud importi, mis sisaldas Ethereumis tagatiseta väljamaksetaotlust. Sild kontrollis notari allkirju, riigi juurvõtmeid ja Merkle'i tõendeid, kuid ei suutnud kontrollida, kas taotletud väljamakse summa vastas Veruse poolel lukustatud või eksporditud varadele.
Backward Labsi andmetel oli põhjuseks autoriseerimise mööndus ja protokolliseisundi eeldamisega seotud probleem. Sild aktsepteeris tõendatud importi, mis volitas mitme vara liigi reservimaksete tegemist, kuid kriitilised eelnevad kontrollid loomise, autoriseerimise, ülekande hash-väärtuse, arvu ja majandusliku tagatise osas olid ebapiisavad. Ühes analüüsis märgiti:
„Seekord jäi sama põhjus 66 päeva jooksul ärakasutatavaks.”
Sillast varudest väljavoolanud varade hulka kuulusid Ether, tBTC, MKR, USDC, Tether, EURC ja scrvUSD. DAI puhul suhtles sild Sky (endine MakerDAO) tagatispositsiooniga, et vermida ligikaudu 220 357 DAI-d pettusliku taotluse täitmiseks.
Mitmed seirevahendid märgistasid tehingu kriitilise hinnanguga, viidates seisundi manipuleerimisele, meelevaldsele loomisele ja detsentraliseeritud rahanduse (DeFi) väljavooludele.
Backward Labs avaldas aruande ja kontsepti tõestuse, milles rõhutati rikutud invarianti: „Ethereumi silla reserve võib vabastada ainult allika-keti reservide ülekannete jaoks, mille CCE loomine, autoriseerimine, ülekande hash, arv ja majanduslik tagatis on kõik tõendatud silla eeldatava elutsükli jooksul.“
See turvaauk toob esile jätkuvad turvaprobleemid ahelatevaheliste sildadega, kus krüptograafiline kontroll õnnestub, kuid varade tagatise äriloogika valideerimine ebaõnnestub. Sildade turvaaugud on DeFi-s endiselt korduv probleem, mis viib sageli pöördumatute kahjudeni, kuna plokiahela tehingud on muutumatud.
See artikkel tõlgiti inglise keelest tehisintellekti abil. Ingliskeelne originaalversioon on autoriteetne allikas; automaatsed tõlked võivad sisaldada ebatäpsusi, eriti juriidilises ja regulatiivses terminoloogias.
