A ponte Verus-Ethereum sofreu seu segundo ataque em dois meses, com os invasores desviando entre US$ 7,3 milhões e US$ 7,5 milhões em diversos ativos digitais.
A Verus Bridge sofre o segundo ataque em 66 dias, e a falha eleva o total de perdas para US$ 19,1 milhões
ESCRITO POR
PARTILHAR
Principais conclusões
- Em 23 de julho, invasores exploraram uma falha na ponte Verus-Ethereum, roubando US$ 7,5 milhões em ativos digitais.
- A violação ressalta os riscos da DeFi, em que as provas criptográficas são válidas, mas o lastro dos ativos falha.
- Os usuários devem acompanhar os canais da Verus para obter atualizações, enquanto os protocolos devem corrigir a lógica de verificação de estado.
Lógica falha por trás da violação
O contrato inteligente da Verus-Ethereum Bridge foi explorado novamente na quinta-feira, com invasores desviando entre US$ 7,3 milhões e US$ 7,5 milhões em diversos ativos digitais, de acordo com pesquisadores de segurança de blockchain. O incidente marca a segunda violação do mesmo contrato e da mesma vulnerabilidade em dois meses. Em 17 de maio, os invasores roubaram aproximadamente US$ 11,6 milhões usando um método semelhante, elevando as perdas totais para cerca de US$ 19,1 milhões.
Analistas de segurança afirmaram que o ataque envolveu uma importação criada de forma maliciosa pelo lado da Verus, que incluía uma solicitação de pagamento sem lastro na Ethereum. A ponte verificou assinaturas notariais, raízes de estado e provas de Merkle, mas não conseguiu verificar se o valor do pagamento solicitado correspondia aos ativos bloqueados ou exportados pelo lado da Verus.
De acordo com a Backward Labs, a causa raiz foi uma violação da autorização e um problema de suposição do estado do protocolo. A ponte aceitou uma importação comprovada que autorizava pagamentos de reservas de múltiplos ativos, mas as verificações críticas a montante para criação, autorização, hash de transferência, contagem e lastro econômico foram insuficientes. Uma análise observou:
“Desta vez, a mesma causa raiz permaneceu explorável por 66 dias.”
Os ativos drenados das reservas da ponte incluíram Ether, tBTC, MKR, USDC, Tether, EURC e scrvUSD. No caso do DAI, a ponte interagiu com uma posição de garantia da Sky (anteriormente MakerDAO) para cunhar aproximadamente 220.357 DAI a fim de atender à solicitação fraudulenta.
Várias ferramentas de monitoramento sinalizaram a transação com uma pontuação crítica, citando manipulação de estado, cunhagem arbitrária e saídas de fundos das finanças descentralizadas (DeFi).
A Backward Labs publicou um relatório e uma prova de conceito destacando a invariável violada: “As reservas da ponte Ethereum só podem ser liberadas para transferências de reservas da cadeia de origem cuja criação de CCE, autorização, hash de transferência, contagem e lastro econômico sejam comprovados dentro do ciclo de vida esperado da ponte.”
A exploração destaca os desafios de segurança contínuos com pontes entre cadeias, nas quais a verificação criptográfica é bem-sucedida, mas a validação da lógica de negócios para o lastro de ativos falha. Explorações de pontes continuam sendo um problema recorrente na DeFi, muitas vezes levando a perdas irrecuperáveis, pois as transações em blockchain são imutáveis.
Este artigo foi traduzido do inglês usando IA. A versão original em inglês é a fonte autorizada; traduções automáticas podem conter imprecisões, especialmente em terminologia jurídica e regulatória.
