Ethereum Fork ETHPoW lider Bridge Replay Exploit, Token Tanks 37%

ETHPoW, den proof-of-arbejde blockchain gaflet fra Ethereum der gik live kort efter Ethereums overgang til proof-of-stake (PoS) i sidste uge, er blevet offer for en gentagelsesudnyttelse, der resulterede i, at yderligere 200 ETHW-tokens blev suget af angriberen.

Blockchain-sikkerhedsfirmaet BlockSec afslørede hændelsen søndag og sagde, at angrebet skete gennem Omni Bridge på Gnosis-kæden.

"Den 16. september 2022 opdagede vi, at nogle angribere med succes høstede masser af ETHW ved at afspille beskeden (dvs. opkaldsdataene) fra PoS-kæden på EthereumPoW (også kaldet PoW-kæden)," skrev BlockSec i en Medium indlæg.

Ifølge sikkerhedsforskerne overførte angriberen først 200 WETH gennem Omni Bridge og afspillede derefter den samme besked på PoW-kæden og fik 200 ETHW ekstra.

"Ved at gøre det kan resten af ​​kædekontrakten, der er installeret på PoW-kæden, blive drænet," sagde BlockSec.

Firmaet detaljerede, at "hovedårsagen til udnyttelsen er, at Omni-broen på PoW-kæden bruger det gamle chainId og ikke korrekt verificerer det faktiske chainId for cross-chain-meddelelsen," og tilføjede, at lignende problemer kan eksistere i andre protokoller .

Prisen på ETHW-tokenet styrtdykkede omkring 37% på baggrund af nyhederne og ramte et frisk lavpunkt på $4.22 tidligere på mandag, ifølge CoinMarketCap. Den handles i øjeblikket til lidt over $5.

ETHPoW-udviklere bekræfter udnyttelse

Udviklerne bag ETHW-protokollen bekræftede hændelsen; de insisterede dog på, at angrebet ikke stammede fra ETHW blockchain og kun påvirkede Omni-broen, ikke selve Ethereum PoW-netværket.

"ETHW har selv håndhævet EIP-155, og der er intet replay-angreb fra ETHPoS og til ETHPoS, som ETHW Cores sikkerhedsingeniører har planlagt på forhånd," sagde ETHW-teamet i en blogindlæg.

Udviklerne sagde også, at de har kontaktet Omni-teamet for at advare dem om udnyttelsen.

"Vi har kontaktet broen på alle måder og informeret dem om risiciene," sagde ETHW blockchain-udviklerne og tilføjede, at "broer skal korrekt verificere det faktiske ChainID af krydskædede beskeder."

Hvad er ETHPoW?

ETHPoW er en hård gaffel af Ethereum støttet af en gruppe minearbejdere, der erklærede deres intention om at bevare PoW-kæden efter fusionen - den almindeligt anvendte betegnelse for netværkets skift til PoS.

Kæden blev lanceret i sidste uge kort efter fusionen fandt sted, men det fik en ret ujævn start da netværket stod over for flere tekniske problemer, herunder et Chain ID-problem.

Muligheden for et replay-angreb, hvis ETHPoW undlod at ændre sit netværks kæde-id fra Ethereums hovednet, blev fremhævet nogle uger før fusionen.

ETHPoW-grundlæggeren Chandler Guo insisterede dengang, at den frygt var overdrevet, og fortalt Dekryptér at netværket ville ændre alle kæde-id'er på sin blockchain for at forhindre sådanne angreb.