מחיר פולקדוט צונח ב-6% בעקבות פרצת הטבעה של מיליארד טוקנים באת'ריום

נקודות עיקריות:

• האקר ניצל פרצת Replay כדי להטביע 1 מיליארד אסימוני פולקדוט מזויפים דרך שער Hyperbridge.
• מחיר DOT ירד ב-6% ל-$1.16 לפני שהתאושש, בעוד שההאקר גרף $237,000 באת’ר.
• כעת מצופה שמפתחי Hyperbridge יפרסו תיקונים כדי לאבטח פונקציות אדמיניסטרטיביות בחוזים חכמים.

צוואר בקבוק בנזילות מגביל את ההפסדים

ב-13 באפריל, חברת אבטחת הבלוקצ’יין Certik התריעה בפני קהילת הקריפטו על ניצול שקשור לשער Hyperbridge, שבו גורם זדוני הטביע 1 מיליארד אסימוני פולקדוט לא מורשים ברשת את’ריום. בעקבות האירוע, מחיר DOT צנח לזמן קצר מ-$1.23 ל-$1.16, ירידה של כמעט 6%. עם זאת, נכון למועד הכתיבה, האסימון מחק חלק מההפסדים הללו והתאושש ל-$1.19.

על פי נתוני onchain ודוחות אבטחה, התוקף ניצל פגיעות בתוך החוזה החכם של שער Hyperbridge. באמצעות שימוש בהודעה מזויפת כדי לקבל הרשאות מנהליות על חוזה ה-DOT המגושר באת’ריום, המבצע הפעיל עסקה יחידה שיצרה את מיליארד האסימונים.

למרות מספר האסימונים הגדול שנוצר, התוקף לא היה מסוגל לממש לפי שווי השוק, משום שלגרסה המגושרת של DOT באת’ריום הייתה נזילות רדודה.

ניתוח של Lookonchain מאשר שההאקר חיסל את כל שלל מיליארד האסימונים בהחלפה אחת. העסקה הניבה כ-108.2 את’ר, בשווי של כ-$237,000 בעת ביצוע העסקה. אילו הנכס המגושר היה נסחר בהיקף רחב יותר, ההשפעה הכספית הייתה יכולה להיות גבוהה משמעותית.

מומחי אבטחה מיהרו להבהיר שהפריצה הייתה ממוקדת בשער Hyperbridge באת’ריום. שרשרת הממסר המרכזית של פולקדוט ואסימוני ה-DOT האותנטיים שנמצאים ברשת פולקדוט נותרו מאובטחים ולא הושפעו מהתקרית.

בדוח הראשוני שלאחר האירוע, Certik אמרה כי הניצול נבע מפגיעות Replay בפונקציה calculateroot של Merkle Mountain Range. הפגם הזה גרם לכך שההוכחות לא נקשרו כראוי לבקשות, מה שאפשר לתוקפים לעשות שימוש חוזר בהתחייבויות מצב ישנות. בהמשך השרשרת, הפונקציה tokengateway.handlechangeadmin לא אכפה בדיקות מחמירות, ואפשרה לתוקפים להזין באופן שרירותי נתוני בקשה.

כתוצאה מכך, קוד זדוני התפשט במערכת ללא בקרה, ובסופו של דבר איפשר לתוקף לשנות את מנהל אסימון הפולקדוט. כפי שציינה Certik:

“התוקף הגיש ערך ‘proof’ שמועתק מה-‘_stateCommitments’ בעסקה קודמת… וכך התאפשר ה-Replay.”

Hyperbridge טרם פרסמה דוח פוסט-מורטם מלא על הפגם הספציפי בחוזה החכם של שער הגייטוויי, אך מצופה שהמפתחים ייישמו תיקונים כדי למנוע ניצולים דומים בעתיד.