Læsetid: 5 minutter
Udforsker de hacks, der fører til milliontab.
Tværkædebroer behøver ikke en introduktion. De har været brugt i et stykke tid og er en fantastisk måde at flytte penge fra en kæde til en anden. Broer hjælper med at forbedre vores oplevelse i Web3, da QuillAudits hjælper med at forbedre sikkerheden af protokoller. Da broer omhandler mange midler, er det kun rimeligt at sikre deres sikkerhed, og sikkerhed er ofte topprioritet i sådanne protokoller. Alligevel var 2022 fuld af cross-chain hacks.
- Januar: Qubit - $80 millioner
- Februar: Ormehul - 375 millioner dollars
- Marts: Ronin Bridge - 624 millioner dollars
- Juni: Harmony - 97 millioner dollars
- August: Nomadebroen - 190 millioner dollars
Hvad skete der?
Lad os tale individuelt om hvert cross-chain hack nævnt ovenfor for at lære, hvad der gik galt med dem og uddanne os selv til at træffe bedre beslutninger.
qubit
Den 27. januar 2022, Qubit, et eksempel på en
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]">cross-chain bridge, blev hacket. Rækken af transaktioner var som følger, efter at have fået 77,162 qxETH gennem en udnyttelse, brugte angriberen den til at låne 15,688 wETH og derefter konvertere den til 767 BTC-B og derefter bruge disse midler til at få fat i stablecoins og indsætte nogle protokoller. Hele dette resulterede i 80 millioner dollars af den samlede værdi tabt.
Overraskende nok skyldtes denne udnyttelse en logisk fejl i Qubit Finance's kode. Denne fejl gjorde det muligt for angriberne at sende ondsindede input til kontraktfunktionerne, hvilket resulterede i tilbagetrækning af tokens på BSC, mens der ikke blev foretaget nogen indbetaling på Ethereum.
Qubit kontraktkode
Selve kernen i denne udnyttede sårbarhed var tokenAddress.safeTransferFrom()-funktionen i Qubit Finances kode, angriberen indså, at denne funktion ikke vender tilbage, når tokenAddress er null.
ormehul
Ormehullet, en af de populære broer, der letter transaktioner på tværs af kæder, der forbinder Solana- og ethereum-blokkæderne, tabte omkring 320 millioner dollars, og var nummer to efter Ronin-broen (mere om dette senere) i 2022.
Den 2. februar 2022 forsøgte angriberen at omgå verifikationsprocessen af Wormhole-broen på Solana. Angriberen omgik verifikationstrinnet og injicerede med succes en falsk sysvar-konto og notorisk præget 120,000 WETH. Et tweet den 3. februar annoncerede udnyttelsen til en værdi af $320 millioner på deres protokol. For at sætte et stik på situationen, erklærede Wormholes moderselskab leveringen af æter til at erstatte det stjålne efter ikke at have fået noget svar for en pris på 10 millioner dollars til gengæld for de stjålne midler til angriberen.
Du ville blive overrasket over at vide, at alt dette var muligt på grund af kun 1 forældet funktion. JA!!, roden til denne udnyttelse var en forældet funktion "load_current_index" under "verify_signatures", som omhandler verifikationsprocessen. Problemet med den forældede funktion "load_current_index" var, at den ikke bekræftede ægtheden af den indtastede "sysvar-konto" til faktisk at være "systemsysvar", hvilket skabte plads for angriberen at udnytte.
Kilde:- Link
Ronin bro
Et snigende hack, som ikke engang blev bemærket i de næste 6 dage, indtil en bruger underrettede teamet om manglende evne til at trække omkring 5k ETH fra broen, hvilket førte til afsløringen af de stjålne midler.
Dette hack er angiveligt et angreb fra en nordkoreansk Lazarus-gruppe og resulterede i et tab på omkring 600 millioner dollars. Dette var et hack baseret på kompromittering af de private nøgler til valideringsnoder med spear phishing-angrebene som hovedårsagen til udnyttelsen.
Ronin-netværket bruger et sæt af ni validatornoder til at godkende en transaktion på broen, og en indbetaling eller udbetaling kræver godkendelse fra flertallet, det vil sige fem af disse knudepunkter. I november 2021 tillod Axie DAO midlertidigt Sky Mavis at underskrive transaktioner på sine vegne, men gæt hvad? Godtgørelsen blev aldrig tilbagekaldt.
Det betyder, at Sky Mavis stadig kan generere signaturer. Angriberen udnyttede dette og kompromitterede først Sky Mavis-systemerne og udnyttede disse signaturer til at generere en signatur fra tredjepartsvalidatoren kontrolleret af Axie DAO. Kort sagt, med adgang til Sky Mavis-systemer kunne angriberen generere gyldige signaturer til fem ronin-netværksvalidatorer og derefter med succes dræne midler.
Harmoni
Den 23. juni 2022 blev Harmony-broen kompromitteret, og forskellige tokens blev nettet på broen, inklusive ETH, WETH, WBTC, USDT, USDC osv. Med en rekord på omkring $97 millioner i tab blev Harmony-broen offer for et kors -kæde hack svarende til Ronin.
For at foretage en transaktion skal brugeren have mindst 2 ud af 5 MultiSig, hvilket betyder, at 2 nøgler ud af i alt 5 nøgler var nødvendige for at validere en transaktion. Men angriberne kompromitterede 2 nøgler for at dræne pengene. Dette var alt muligt, fordi angriberne kunne få adgang til og dekryptere et tilstrækkeligt antal af disse nøgler.
Nomadebroen
Det var den 1. august 2022, da Nomad Bridged stod over for en udnyttelse, der resulterede i et tab på 190 millioner dollars. Det var en
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]”>bro mellem Ethereum, Moonbeam, Avalanche, Evmos og Mikomeda.
Stående i tredje position med et tab på $190 millioner, blev broen kompromitteret på grund af en sårbarhed i initialiseringsprocessen, hvilket gjorde det muligt for angriberne at omgå verifikationsprocessen og dræne midler fra brokontrakten.
Angriberen kunne direkte kalde "process()"-funktionen, som tog en parameter "_message". Angriberen med en vilkårlig "_message" var i stand til at omgå bekræftelsen. Senere skulle kontrakten sikre, at meddelelsens hash blev bevist ved hjælp af acceptableRoot()-funktionen. Så koger det hele ned til funktionen "bevis()", som har en påkrævet erklæring, der skal opfyldes. Angriberen kunne udføre angrebet med succes, bare fordi nullet som en gyldig bekræftet rod kunne omgå den påkrævede kontrol.
Konklusion
Ved statistikken for 2022 er det klart, at broer har været et mål, der har resulteret i tab for millioner værd. De 5 udnyttelser på krydskædede protokoller tegnede sig for omkring 56% af den samlede Web3. På trods af at det er et af de mest nyttige værktøjer, mangler broernes sikkerhed og bliver offer for angrebene.
Vi vil sandsynligvis snart se flere sådanne angreb på broerne. Under disse omstændigheder er det yderst vigtigt for broerne at sikre sig selv og deres brugere. I den kommende blog vender vi tilbage med en revisionsretningslinje for at hjælpe dig med at forstå et par af de afgørende kontroller, vi har brug for for at sikre protokollens sikkerhed.
I mellemtiden skal du huske, at der ikke er noget alternativ til at gå til revision. Med en revision kan du være sikker på sikkerheden. Ikke kun det, brugerne vil tøve med at stole på protokollen. At blive revideret er til fordel for alle, så få dit projekt revideret og vær med til at lave Web3 et mere sikkert sted. Og hvem er bedre til at revidere end QuillAudits? Besøg vores hjemmeside i dag og tjek flere sådanne blogs.
23 Views
- SEO Powered Content & PR Distribution. Bliv forstærket i dag.
- Platoblokkæde. Web3 Metaverse Intelligence. Viden forstærket. Adgang her.
- Kilde: https://blog.quillhash.com/2023/03/23/part-1-bridging-the-blockchain-a-deep-dive-into-cross-chain-hacks-and-failures/
- :er
- $ 10 millioner
- 000
- 1
- 2021
- 2022
- 27.
- 77
- a
- I stand
- Om
- over
- adgang
- Konto
- opnået
- faktisk
- Fordel
- Efter
- Alle
- angiveligt
- tillade
- alternativ
- ,
- annoncerede
- En anden
- godkendelse
- Godkend
- ER
- omkring
- AS
- At
- angribe
- Angreb
- forsøgt
- revision
- revideres
- AUGUST
- Lavine
- tildeling
- Axie
- tilbage
- baseret
- BE
- fordi
- være
- Bedre
- mellem
- blockchain
- blockchains
- Blog
- blogs
- låne
- BRIDGE
- brokoblet
- broer
- brodannelse
- BSC
- by
- ringe
- CAN
- Årsag
- kæde
- kontrollere
- Kontrol
- omstændigheder
- klar
- kode
- selskab
- Kompromitteret
- BEKRÆFTET
- kontrakt
- kontrolleret
- konvertere
- Core
- kunne
- oprettet
- Cross
- Cross-Kæde
- afgørende
- DAO
- Dage
- deal
- Tilbud
- afgørelser
- Dekryptér
- dyb
- dyb dykke
- depositum
- Trods
- destination
- DID
- direkte
- Dont
- ned
- hver
- uddanne
- sikre
- Ækvivalent
- fejl
- etc.
- ETH
- Ether
- ethereum
- Endog
- alle
- evmos
- eksempel
- udføre
- erfaring
- Exploit
- udnyttelse
- Exploited
- exploits
- konfronteret
- faciliterende
- falsk
- Faldende
- februar
- få
- Fornavn
- fejl
- følger
- Til
- fra
- fuld
- funktion
- funktioner
- fonde
- generere
- få
- få
- gå
- gruppe
- hack
- hacket
- hacks
- skete
- Harmoni
- hash
- Have
- hjælpe
- hjælper
- hold
- HTTPS
- betydning
- in
- manglende evne
- Herunder
- Individuelt
- Infrastruktur
- Introduktion
- spørgsmål
- IT
- ITS
- januar
- nøgler
- Kend
- koreansk
- Lazarus
- Lazarus gruppe
- føre
- LÆR
- Led
- Sandsynlig
- Linking
- logisk
- off
- tab
- Lot
- lavet
- Main
- Flertal
- lave
- max-bredde
- midler
- nævnte
- besked
- million
- millioner
- præges
- prægning
- penge
- Månestråle
- mere
- mest
- bevæge sig
- multitegn
- Behov
- behov
- netværk
- næste
- noder
- NOMAD
- Nord
- november
- November 2021
- nummer
- of
- on
- ONE
- parameter
- moderselskab
- del
- Phishing
- phishing-angreb
- Place
- plato
- Platon Data Intelligence
- PlatoData
- Populær
- position
- mulig
- prioritet
- private
- Private nøgler
- behandle
- projekt
- protokol
- protokoller
- gennemprøvet
- giver
- sætte
- qubit
- Quillhash
- rimelige
- optage
- huske
- erstatte
- påkrævet
- svar
- resulterer
- afkast
- tilbage
- RONIN
- Ronin netværk
- Værelse
- rod
- sikrere
- Sikkerhed
- Anden
- sikker
- sikkerhed
- Series
- sæt
- Kort
- underskrive
- Underskrifter
- lignende
- Situationen
- Himmel
- himmel mavis
- Smart
- smart kontrakt
- So
- Solana
- nogle
- Kilde
- Spyd phishing
- Stablecoins
- Statement
- statistik
- Trin
- Stadig
- stjålet
- stjålne midler
- Succesfuld
- sådan
- tilstrækkeligt
- forsyne
- overrasket
- Systemer
- Tal
- mål
- hold
- at
- The Source
- deres
- Them
- selv
- Disse
- Tredje
- tredjepart
- Gennem
- tid
- til
- i dag
- Tokens
- værktøjer
- top
- I alt
- transaktion
- Transaktioner
- overførsel
- Stol
- tweet
- under
- forstå
- låse
- kommende
- USDC
- USDT
- Bruger
- brugere
- VALIDATE
- Validator
- validator -noder
- validatorer
- værdi
- forskellige
- Verifikation
- verificere
- Victim
- Besøg
- sårbarhed
- Vej..
- wBTC
- Web3
- Hjemmeside
- Weth
- Hvad
- som
- mens
- WHO
- Hele
- vilje
- med
- tilbagekalde
- tilbagetrækning
- ormehul
- værd
- ville
- Forkert
- Du
- Din
- zephyrnet
- nul