La solución de puente y escalado de Ethereum Aurora paga USD 2 millones en recompensas por errores

Aurora pagó $2 millones a un par de piratas informáticos que identificaron vulnerabilidades críticas.

La solución de puente y escalado de EVM solucionó los problemas y no se perdieron los fondos de los usuarios. Las dos recompensas de $1 millón se otorgaron en su token nativo AURORA y se pagarán linealmente durante 1 año. Los pagos se facilitaron a través de la plataforma de recompensas por errores de ImmuneFi.

El informe de vulnerabilidad se anunció hoy y fue descubierto el 10 de junio por empresa de seguridad Halborn.

Aurora es un puente compatible con EVM y una solución de escalado de Capa 2 entre el protocolo NEAR de Capa 1 y Ethereum. La primera vulnerabilidad estaba relacionada con que Aurora tenía un ERC-20 (estándar de token fungible) diferente, llamado NEP-141.

El puente entre las dos cadenas no requiere permiso, lo que significa que cualquiera puede conectar cualquier token a cualquier dirección sin su permiso.

Un atacante podría haber creado un token NEP-141 sin valor en NEAR, conectarlo a Aurora y luego enviarlo a víctimas desprevenidas en Aurora. Esto permitiría a los atacantes "tomar ETH de las direcciones de Aurora esencialmente de forma gratuita", escribió Aurora en su informe. Esto se debe a que existe una opción en el puente para cobrar una tarifa denominada en ETH al destinatario o víctima.

La segunda vulnerabilidad tenía que ver con la funcionalidad de grabación en el puente de Aurora. Cuando el puente del usuario financia de una cadena a otra, los tokens se queman en una cadena y se cargan en la otra.

Un atacante podría haber creado un 'evento de grabación falso' en Aurora, sin que ocurriera. Este evento falso podría usarse para retirar fondos del "casillero en Ethereum", que es la cantidad almacenada de ETH del puente Aurora que se usa para unir las cadenas.

© 2022 The Block Crypto, Inc. Todos los derechos reservados. Este artículo se proporciona sólo para fines informativos. No se ofrece ni pretende utilizarse como asesoramiento legal, fiscal, de inversión, financiero o de otro tipo.