Peckshield: $5.25 Milyon ang Na-drain mula sa Hedera at Na-bridge papuntang Ethereum sa Pinaghihinalaang Exploit

Unti-unti Nang Lumalabas ang mga Numero

Iniulat ng Peckshield na ang Hedera network ay na-exploit, batay sa mga natuklasang unang inilabas ng security analyst na Specter. Ayon sa alerto, $5.25 milyon sa ninakaw na pondo ang nailipat na mula sa mainnet ng Hedera papuntang Ethereum.

Orihinal na pinondohan ng umaatake ang kanilang wallet ng 1 ETH na galing sa Tornado Cash, isang mixing service na nagtatago ng bakas ng mga crypto transaction. Ang wallet ngayon ay may hawak na humigit-kumulang 2,360 ETH na nagkakahalaga ng $4.25 milyon at 15.58 wrapped bitcoin (WBTC), isang tokenized na bersyon ng bitcoin na tine-trade sa Ethereum, na tinatayang nagkakahalaga ng halos $1 milyon.

Hindi pa pampublikong kinukumpirma ng Hedera ang insidente sa ngayon, at nananatiling hindi malinaw ang kabuuang lawak ng pagnanakaw lampas sa mga pondong na-bridge. Ang HBAR, ang native token ng network, ay na-trade malapit sa $0.07 noong Hulyo 11, bumaba ng halos 3% sa nakalipas na 24 oras.

Ang mahina o hindi masyadong malakas na reaksyon sa presyo ay tila nagpapahiwatig kung gaano kaaga pa ang sitwasyon, dahil hindi pa nailalantad sa publiko kung ano ang attack vector o kung aling mga application ang naapektuhan, at hindi pa rin alam kung ang mga user account o protocol-level liquidity ang nagdusa ng pagkalugi.

Isang Playbook na Nakita na Noon

Ang pattern ng “pag-seed” ng wallet sa pamamagitan ng mixer, pag-atake, at pagkatapos ay pag-bridge ng nakulimbat papuntang Ethereum ay naging karaniwang playbook sa mga nakaraang taon. Sa katunayan, ang mga cross-chain bridge exploit ay umabot sa mahigit $328 milyon sa unang limang buwan ng taon, at iniulat ng Bitcoin.com News ang ilang ganitong insidente sa nakalipas na buwan. Pinakakamakailan, pinagpalit ng isang umaatake ang $11.5 milyon na ninakaw na Verus assets papuntang ether gamit ang halos kaparehong Tornado Cash setup.

Hindi rin ito ang unang security incident ng Hedera, dahil noong Marso 2023, sinamantala ng mga umaatake ang smart contract service ng network upang ma-drain ang liquidity pool tokens mula sa mga decentralized exchange kabilang ang Saucerswap, Pangolin at Heliswap. Ang pag-atakeng iyon ay nakakuha ng mas mababa sa $600,000, at naglabas ang network ng fix sa loob ng 41 oras mula nang matuklasan, isang response time na paghahambingan ng kasalukuyang pangyayari.

Sa susunod na araw, nakatuon ang lahat ng mata sa team ng Hedera at kung paano nito hahawakan ang sitwasyon, lalo na’t hindi pa nga nila kinukumpirma ang breach. Bukod dito, magiging interesante ring makita kung sisimulan ng umaatake na ipaikot muli ang 2,360 ETH pabalik sa Tornado Cash. Hanggang doon, ang $5.25 milyon ay nananatili sa isang wallet na binabantayan na ngayon ng bawat onchain sleuth sa industriya.