Ώρα ανάγνωσης: 5 πρακτικά
Διερεύνηση των αμυχών που οδηγούν σε απώλειες εκατομμυρίων δολαρίων.
Οι γέφυρες πολλαπλών αλυσίδων δεν χρειάζονται εισαγωγή. Έχουν χρησιμοποιηθεί για λίγο και είναι ένας καταπληκτικός τρόπος για να μετακινήσετε χρήματα από τη μια αλυσίδα στην άλλη. Οι γέφυρες βοηθούν στην καλύτερη εμπειρία μας στο Web3, καθώς το QuillAudits βοηθά στην καλύτερη ασφάλεια των πρωτοκόλλων. Καθώς οι γέφυρες ασχολούνται με πολλά κεφάλαια, είναι λογικό να διασφαλίζεται η ασφάλειά τους και η ασφάλεια είναι συχνά η κορυφαία προτεραιότητα σε τέτοια πρωτόκολλα. Ωστόσο, το 2022 ήταν γεμάτο από cross-chain hacks.
- Ιανουάριος: Qubit — 80 εκατομμύρια δολάρια
- Φεβρουάριος: Wormhole — 375 εκατομμύρια δολάρια
- Μάρτιος: Ronin Bridge — 624 εκατομμύρια δολάρια
- Ιούνιος: Harmony — 97 εκατομμύρια δολάρια
- Αύγουστος: Nomad Bridge — 190 εκατομμύρια δολάρια
Τι συνέβη?
Ας μιλήσουμε ξεχωριστά για κάθε hack cross-chain που αναφέρθηκε παραπάνω για να μάθουμε τι πήγε στραβά με αυτά και να εκπαιδεύσουμε τους εαυτούς μας για να λάβουμε καλύτερες αποφάσεις.
Κουμπίτ
Στις 27 Ιανουαρίου 2022, το Qubit, ένα παράδειγμα α
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]">cross-chain bridge, παραβιάστηκε. Η σειρά των συναλλαγών ήταν η εξής, αφού πήρε 77,162 qxETH μέσω ενός exploit, ο εισβολέας το χρησιμοποίησε για να δανειστεί 15,688 wETH και στη συνέχεια να το μετατρέψει σε 767 BTC-B και στη συνέχεια να χρησιμοποιήσει αυτά τα κεφάλαια για να αποκτήσει stablecoins και να βάλει μερικά πρωτόκολλα. Το σύνολο αυτό είχε ως αποτέλεσμα την απώλεια 80 εκατομμυρίων δολαρίων συνολικής αξίας.
Παραδόξως, αυτό το exploit προέκυψε από ένα λογικό σφάλμα Qubit Finance κώδικας. Αυτό το ελάττωμα επέτρεψε στους επιτιθέμενους να στείλουν κακόβουλες εισόδους στις λειτουργίες του συμβολαίου με αποτέλεσμα την απόσυρση των διακριτικών στο BSC ενώ δεν έγινε κατάθεση στο Ethereum.
Κωδικός συμβολαίου Qubit
Στον πυρήνα αυτής της εκμεταλλευόμενης ευπάθειας ήταν η συνάρτηση tokenAddress.safeTransferFrom() στον κώδικα του Qubit Finance, ο εισβολέας συνειδητοποίησε ότι αυτή η συνάρτηση δεν επιστρέφει όταν το tokenAddress είναι null.
Σκουλήκι
Η σκουληκότρυπα, μια από τις δημοφιλείς γέφυρες που διευκολύνει τις διασταυρούμενες συναλλαγές που συνδέουν τις μπλοκ αλυσίδες Solana και ethereum, έχασε περίπου 320 εκατομμύρια δολάρια, καταλαμβάνοντας τη δεύτερη θέση μετά τη γέφυρα Ronin (περισσότερα για αυτό αργότερα) το 2022.
Στις 2 Φεβρουαρίου 2022, ο εισβολέας επιχείρησε να παρακάμψει τη διαδικασία επαλήθευσης της γέφυρας Wormhole στη Σολάνα. Ο εισβολέας παρέκαμψε το βήμα επαλήθευσης και εισήγαγε με επιτυχία έναν ψεύτικο λογαριασμό sysvar και έκοψε περιβόητα 120,000 wETH. Ένα tweet στις 3 Φεβρουαρίου ανακοίνωσε την εκμετάλλευση αξίας 320 εκατομμυρίων δολαρίων στο πρωτόκολλό τους. Για να ρίξει μια βελονιά στην κατάσταση, η μητρική εταιρεία του Wormhole δήλωσε την προμήθεια αιθέρα για να αντικαταστήσει ό,τι είχε κλαπεί, αφού δεν έλαβε καμία απάντηση για ένα βραβείο 10 εκατομμυρίων δολαρίων σε αντάλλαγμα για τα κλεμμένα χρήματα στον εισβολέα.
Θα εκπλαγείτε αν μάθετε ότι όλα αυτά ήταν δυνατά λόγω μόλις 1 καταργημένης λειτουργίας. ΝΑΙ!!, η ρίζα αυτού του exploit ήταν μια καταργημένη συνάρτηση "load_current_index" κάτω από το "verify_signatures", η οποία ασχολείται με τη διαδικασία επαλήθευσης. Το πρόβλημα με την καταργημένη συνάρτηση "load_current_index" ήταν ότι δεν επαλήθευε την αυθεντικότητα του εισαγόμενου "λογαριασμού sysvar" ως "system sysvar" που δημιουργούσε χώρο για εκμετάλλευση από τον εισβολέα.
Πηγή:- Σύνδεσμος
Γέφυρα Ρονίν
Ένα κρυφό hack που δεν έγινε καν αντιληπτό για τις επόμενες 6 ημέρες έως ότου ένας χρήστης ειδοποίησε την ομάδα για την αδυναμία ανάληψης περίπου 5 χιλιάδων ETH από τη γέφυρα, γεγονός που οδήγησε στην αποκάλυψη των κλεμμένων κεφαλαίων.
Αυτό το hack φέρεται να είναι μια επίθεση από μια ομάδα Lazarus της Βόρειας Κορέας και είχε ως αποτέλεσμα απώλεια περίπου 600 εκατομμυρίων δολαρίων. Αυτό ήταν ένα hack που βασίστηκε στον συμβιβασμό των ιδιωτικών κλειδιών των κόμβων επικύρωσης με τις επιθέσεις spear phishing ως την κύρια αιτία για την εκμετάλλευση.
Το δίκτυο ronin χρησιμοποιεί ένα σύνολο εννέα κόμβων επικύρωσης για να εγκρίνει μια συναλλαγή στη γέφυρα και μια κατάθεση ή ανάληψη χρειάζεται την έγκριση της πλειοψηφίας, δηλαδή πέντε από αυτούς τους κόμβους. Τον Νοέμβριο του 2021, η Axie DAO επέτρεψε προσωρινά στη Sky Mavis να υπογράφει συναλλαγές για λογαριασμό της, αλλά μαντέψτε τι; Το επίδομα δεν ανακλήθηκε ποτέ.
Αυτό σημαίνει ότι το Sky Mavis θα μπορούσε ακόμα να δημιουργήσει υπογραφές. Ο εισβολέας το εκμεταλλεύτηκε αυτό και πρώτα παραβίασε τα συστήματα Sky Mavis και εκμεταλλεύτηκε αυτές τις υπογραφές για να δημιουργήσει μια υπογραφή από τον επικυρωτή τρίτου μέρους που ελέγχεται από την Axie DAO. Εν ολίγοις, με πρόσβαση στα συστήματα Sky Mavis, ο εισβολέας θα μπορούσε να δημιουργήσει έγκυρες υπογραφές για πέντε επικυρωτές δικτύου ronin και στη συνέχεια να αποστραγγίσει επιτυχώς τα χρήματα.
Αρμονία
Στις 23 Ιουνίου 2022, η γέφυρα Harmony παραβιάστηκε και στη γέφυρα κυκλοφόρησαν διάφορα μάρκες, συμπεριλαμβανομένων των ETH, WETH, WBTC, USDT, USDC κ.λπ. Με ζημιά περίπου 97 εκατομμυρίων δολαρίων, η γέφυρα Harmony έπεσε θύμα σταυρού -chain hack παρόμοιο με το Ronin.
Για να πραγματοποιήσει μια συναλλαγή, ο χρήστης θα χρειαζόταν τουλάχιστον 2 από τα 5 MultiSig, που σημαίνει ότι απαιτούνταν 2 κλειδιά από τα συνολικά 5 κλειδιά για την επικύρωση μιας συναλλαγής. Αλλά οι επιτιθέμενοι συμβιβάστηκαν με 2 κλειδιά για να εξαντλήσουν τα χρήματα. Όλα αυτά ήταν δυνατά επειδή οι εισβολείς μπορούσαν να έχουν πρόσβαση και να αποκρυπτογραφήσουν έναν επαρκή αριθμό από αυτά τα κλειδιά.
Nomad Bridge
Ήταν 1η Αυγούστου 2022 όταν το Nomad Bridged αντιμετώπισε ένα exploit που είχε ως αποτέλεσμα απώλεια 190 εκατομμυρίων δολαρίων. Ήταν ένα
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]">γέφυρα διασταυρούμενης αλυσίδας μεταξύ Ethereum, Moonbeam, Avalanche, Evmos και Mikomeda.
Βρισκόμενη στην τρίτη θέση με απώλεια 190 εκατομμυρίων δολαρίων, η γέφυρα παραβιάστηκε λόγω ευπάθειας στη διαδικασία προετοιμασίας, επιτρέποντας στους εισβολείς να παρακάμψουν τη διαδικασία επαλήθευσης και να αποστραγγίσουν τα χρήματα από τη σύμβαση της γέφυρας.
Ο εισβολέας μπορούσε να καλέσει απευθείας τη συνάρτηση «process()», η οποία πήρε μια παράμετρο «_message». Ο εισβολέας με ένα αυθαίρετο "_message" μπόρεσε να παρακάμψει την επαλήθευση. Αργότερα, το συμβόλαιο έπρεπε να διασφαλίσει ότι ο κατακερματισμός του μηνύματος αποδείχθηκε χρησιμοποιώντας τη συνάρτηση AcceptableRoot(). Στη συνέχεια, όλα καταλήγουν στη συνάρτηση "prove()", η οποία έχει μια απαιτούμενη δήλωση που πρέπει να εκπληρωθεί. Ο εισβολέας θα μπορούσε να εκτελέσει με επιτυχία την επίθεση μόνο και μόνο επειδή το μηδέν ως έγκυρη επιβεβαιωμένη ρίζα θα μπορούσε να παρακάμψει τον απαιτούμενο έλεγχο.
Συμπέρασμα
Σύμφωνα με τα στατιστικά του 2022, είναι ξεκάθαρο ότι οι γέφυρες ήταν στόχος με απώλειες εκατομμυρίων. Τα 5 exploits στα πρωτόκολλα cross-chain αντιπροσώπευαν περίπου το 56% του συνολικού Web3. Παρά το γεγονός ότι είναι ένα από τα πιο χρήσιμα εργαλεία, η ασφάλεια των γεφυρών λείπει και πέφτουν θύματα των επιθέσεων.
Πιθανότατα θα δούμε περισσότερες τέτοιες επιθέσεις στις γέφυρες σύντομα. Υπό αυτές τις συνθήκες, είναι υψίστης σημασίας για τις γέφυρες να ασφαλίσουν τον εαυτό τους και τους χρήστες τους. Στο επερχόμενο ιστολόγιο, θα επανέλθουμε με μια οδηγία ελέγχου για να σας βοηθήσουμε να κατανοήσετε ορισμένους από τους κρίσιμους ελέγχους που χρειαζόμαστε για να διασφαλίσουμε την ασφάλεια του πρωτοκόλλου.
Εν τω μεταξύ, να θυμάστε ότι δεν υπάρχει εναλλακτική από το να πάτε για έλεγχο. Με έναν έλεγχο, μπορείτε να είστε σίγουροι για την ασφάλεια. Όχι μόνο αυτό, οι χρήστες θα διστάσουν να εμπιστευτούν το πρωτόκολλο. Ο έλεγχος είναι προς όφελος όλων, επομένως ελέγξτε το έργο σας και βοηθήστε να γίνει Web3 ένα πιο ασφαλές μέρος. Και ποιος είναι καλύτερος για έλεγχο από την QuillAudits; Επισκεφτείτε τον ιστότοπό μας σήμερα και δείτε περισσότερα τέτοια ιστολόγια.
23 Προβολές
- SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
- Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
- πηγή: https://blog.quillhash.com/2023/03/23/part-1-bridging-the-blockchain-a-deep-dive-into-cross-chain-hacks-and-failures/
- :είναι
- $ 10 εκατομμύρια
- 000
- 1
- 2021
- 2022
- 27
- 77
- a
- Ικανός
- Σχετικα
- πάνω από
- πρόσβαση
- Λογαριασμός
- επιτευχθεί
- πραγματικά
- Πλεονέκτημα
- Μετά το
- Όλα
- φέρεται ότι
- Επιτρέποντας
- εναλλακτική λύση
- και
- ανακοίνωσε
- Άλλος
- έγκριση
- εγκρίνω
- ΕΙΝΑΙ
- γύρω
- AS
- At
- επίθεση
- Επιθέσεις
- προσπάθεια
- έλεγχος
- ελεγχθεί
- Αύγουστος
- Χιονοστιβάδα
- βραβείο
- Άξυ
- πίσω
- βασίζονται
- BE
- επειδή
- είναι
- Καλύτερα
- μεταξύ
- blockchain
- μπλοκ αλυσίδες
- Μπλοκ
- ιστολόγια
- δανείζομαι
- ΓΕΦΥΡΑ
- γεφυρωμένο
- γέφυρες
- Γεφυρώνοντας
- BSC
- by
- κλήση
- CAN
- Αιτία
- αλυσίδα
- έλεγχος
- έλεγχοι
- περιστάσεις
- καθαρός
- κωδικός
- εταίρα
- Συμβιβασμένος
- ΕΠΙΒΕΒΑΙΩΜΕΝΟΣ
- σύμβαση
- ελέγχεται
- μετατρέψετε
- πυρήνας
- θα μπορούσε να
- δημιουργήθηκε
- Σταυρός
- Cross-Αλυσίδα
- κρίσιμος
- DAO
- Ημ.
- συμφωνία
- Προσφορές
- αποφάσεις
- Αποκρυπτογράφηση
- βαθύς
- βαθιά κατάδυση
- κατάθεση
- Παρά
- προορισμός
- DID
- κατευθείαν
- Μην
- κάτω
- κάθε
- εκπαιδεύσει
- εξασφαλίζω
- Ισοδύναμος
- σφάλμα
- κ.λπ.
- ETH
- Αιθέρας
- ethereum
- Even
- όλοι
- εύμος
- παράδειγμα
- εκτελέσει
- εμπειρία
- Εκμεταλλεύομαι
- εκμετάλλευση
- Κακοποιημένα
- εκμεταλλεύεται
- αντιμετωπίζουν
- διευκολύνοντας
- απομίμηση
- Πτώση
- Φεβρουάριος
- λίγοι
- Όνομα
- ελάττωμα
- εξής
- Για
- από
- πλήρη
- λειτουργία
- λειτουργίες
- χρήματα
- παράγουν
- παίρνω
- να πάρει
- μετάβαση
- Group
- σιδηροπρίονο
- hacked
- αμυχές
- συνέβη
- Αρμονία
- χασίσι
- Έχω
- βοήθεια
- βοηθά
- κρατήστε
- HTTPS
- σπουδαιότητα
- in
- αδυναμία
- Συμπεριλαμβανομένου
- Μεμονωμένα
- Υποδομή
- Εισαγωγή
- ζήτημα
- IT
- ΤΟΥ
- Ιανουάριος
- πλήκτρα
- Ξέρω
- Κορεάτικα
- Λάζαρος
- Ομάδα Λαζάρου
- οδηγήσει
- ΜΑΘΑΊΝΩ
- Led
- Πιθανός
- σύνδεση
- λογικός
- off
- απώλειες
- Παρτίδα
- που
- Κυρίως
- Η πλειοψηφία
- κάνω
- max-width
- μέσα
- που αναφέρθηκαν
- μήνυμα
- εκατομμύριο
- εκατομμύρια
- κόπηκαν
- νομισματοκοπείο
- χρήματα
- Ακτή σελήνης
- περισσότερο
- πλέον
- μετακινήσετε
- Πολυσήμαντο
- Ανάγκη
- ανάγκες
- δίκτυο
- επόμενη
- κόμβων
- ΝΟΜΑΣ
- Βόρειος
- Νοέμβριος
- Νοέμβριος 2021
- αριθμός
- of
- on
- ONE
- παράμετρος
- οικογενειακή επιχείρηση
- μέρος
- Phishing
- επιθέσεις ηλεκτρονικού ψαρέματος
- Μέρος
- Πλάτων
- Πληροφορία δεδομένων Plato
- Πλάτωνα δεδομένα
- Δημοφιλής
- θέση
- δυνατός
- προτεραιότητα
- ιδιωτικός
- Ιδιωτικά κλειδιά
- διαδικασια μας
- σχέδιο
- πρωτόκολλο
- πρωτόκολλα
- αποδεδειγμένη
- παρέχει
- βάζω
- Κουμπίτ
- Quillhash
- λογικός
- ρεκόρ
- θυμάμαι
- αντικαθιστώ
- απαιτείται
- απάντησης
- με αποτέλεσμα
- απόδοση
- Επαναφορά
- ΡΟΝΙΝ
- Δίκτυο Ronin
- Δωμάτιο
- ρίζα
- Ασφαλέστερο
- Ασφάλεια
- Δεύτερος
- προστατευμένο περιβάλλον
- ασφάλεια
- Σειρές
- σειρά
- Κοντά
- υπογράψουν
- Υπογραφές
- παρόμοιες
- κατάσταση
- Ουρανός
- Sky mavis
- έξυπνος
- έξυπνη σύμβαση
- So
- σολάριουμ
- μερικοί
- Πηγή
- Spears Phishing
- Σταθερά ελαιόλαδα
- Δήλωση
- stats
- Βήμα
- Ακόμη
- κλαπεί
- κλεμμένα κεφάλαια
- Επιτυχώς
- τέτοιος
- επαρκής
- προμήθεια
- έκπληκτος
- συστήματα
- Συζήτηση
- στόχος
- ότι
- Η
- Η Πηγη
- τους
- Τους
- τους
- Αυτοί
- Τρίτος
- τρίτους
- Μέσω
- ώρα
- προς την
- σήμερα
- κουπόνια
- εργαλεία
- κορυφή
- Σύνολο
- συναλλαγή
- Συναλλαγές
- μεταφορά
- Εμπιστευθείτε
- τιτίβισμα
- υπό
- καταλαβαίνω
- ξεκλειδώσετε
- ανερχόμενος
- USDC
- USDT
- Χρήστες
- Χρήστες
- ΕΠΙΚΥΡΩΝΩ
- Επικύρωση
- κόμβοι επικύρωσης
- επικυρωτές
- αξία
- διάφορα
- Επαλήθευση
- επαληθεύει
- Θύμα
- Επίσκεψη
- ευπάθεια
- Τρόπος..
- wBTC
- Web3
- Ιστοσελίδα : www.example.gr
- με
- Τι
- Ποιό
- ενώ
- Ο ΟΠΟΊΟΣ
- ολόκληρο
- θα
- με
- αποσύρω
- απόσυρση
- σκουληκότρυπα
- αξία
- θα
- Λανθασμένος
- Εσείς
- Σας
- zephyrnet
- μηδέν