Peckshield: $5.25 Juta Dilesapkan Daripada Hedera dan Dijambatkan ke Ethereum dalam Eksploitasi yang Disyaki

Angka-Angka Akhirnya Mula Muncul

Peckshield melaporkan bahawa rangkaian Hedera telah dieksploitasi, memetik penemuan yang mula-mula diketengahkan oleh penganalisis keselamatan Specter. Menurut amaran itu, $5.25 juta dana yang dicuri telah pun dipindahkan daripada mainnet Hedera ke Ethereum.

Penyerang pada asalnya membiayai dompet mereka dengan 1 ETH yang diambil daripada Tornado Cash, sebuah perkhidmatan pengadun yang mengaburkan jejak transaksi kripto. Dompet itu kini memegang kira-kira 2,360 ETH bernilai $4.25 juta dan 15.58 wrapped bitcoin (WBTC), versi bertoken bitcoin yang didagangkan di Ethereum, bernilai hampir $1 juta.

Hedera masih belum mengesahkan insiden tersebut secara terbuka setakat ini, dan skop penuh kecurian selain daripada dana yang dijambatkan masih tidak jelas. HBAR, token asli rangkaian itu, didagangkan sekitar $0.07 pada 11 Julai, turun hampir 3% dalam tempoh 24 jam terakhir.

Reaksi harga yang suram ini tampak menunjukkan betapa awalnya situasi tersebut, kerana neither vektor serangan mahupun aplikasi yang terjejas telah dikenal pasti secara terbuka, dan masih belum diketahui sama ada akaun pengguna atau kecairan pada peringkat protokol yang menanggung kerugian.

Satu Playbook Yang Pernah Dilihat Sebelum Ini

Corak menyemai dompet melalui pengadun, melancarkan serangan, kemudian menjambatkan hasil rampasan ke Ethereum telah menjadi playbook standard sejak beberapa tahun kebelakangan ini. Malah, eksploit jambatan rentas-rantaian melepasi $328 juta dalam lima bulan pertama tahun ini, dengan Bitcoin.com News melaporkan beberapa insiden sedemikian sepanjang bulan lalu. Paling terbaru, seorang penyerang menukarkan $11.5 juta aset Verus yang dicuri kepada ether menggunakan susunan Tornado Cash yang hampir sama.

Ia juga bukan insiden keselamatan pertama Hedera memandangkan pada Mac 2023, penyerang mengeksploit perkhidmatan kontrak pintar rangkaian itu untuk mengeringkan token kolam kecairan daripada bursa terdesentralisasi termasuk Saucerswap, Pangolin dan Heliswap. Serangan itu menghasilkan kurang daripada $600,000, dan rangkaian tersebut mengeluarkan pembaikan dalam tempoh 41 jam selepas ditemui, suatu masa tindak balas yang episod semasa ini akan dibandingkan dengannya.

Sepanjang hari yang akan datang, semua mata akan tertumpu pada pasukan Hedera dan bagaimana ia menangani situasi ini, terutamanya kerana mereka belum pun mengesahkan pencerobohan itu. Selain itu, akan menarik untuk melihat sama ada penyerang mula mengitar semula 2,360 ETH kembali melalui Tornado Cash. Sehingga itu, $5.25 juta tersebut kekal dalam sebuah dompet yang kini diperhatikan oleh setiap penyiasat onchain dalam industri.