BNB-ketting ondergaat harde vork na misbruik van $ 100 miljoen

.

Een recente kwetsbaarheid in de BNB Chain is succesvol verholpen met de Moran hard fork.

UPDATE: Officiële BNB Chain Response.

We voelen ons nederig door de steun, het harde werk en de toewijding van de gemeenschap waarvan we trots zijn deel uit te maken.https://t.co/r0TcZYxFzJ

— BNB-keten (@BNBCHAIN) 7 oktober 2022

Aanvaller komt weg met 100 miljoen USD

De Binance Smart Chain werd op 6 oktober tijdelijk stopgezet nadat Binance onregelmatige activiteiten op zijn slimme contractplatform had opgemerkt. Dit was mogelijk door één voor één contact op te nemen met alle 26 gedelegeerde validatorknooppunten van de BSC en hen te vragen de blockchain op te schorten.

Al snel bleek dat de onregelmatige activiteit het gevolg was van een exploit waarbij in totaal 2 miljoen BNB (~540 miljoen USD) uit het niets werd gecreëerd. 

Volgens een analyse door Twitter-gebruiker @samczsun, slaagde de aanvaller erin een bewijs te vervalsen dat hij het geld in de BSC Token Hub heeft gestort, die de legacy Binance Beacon Chain en de Binance Smart Chain overbrugt.

Samenvattend, er zat een fout in de manier waarop de Binance Bridge bewijzen verifieerde waardoor aanvallers willekeurige berichten konden vervalsen. Gelukkig heeft de aanvaller hier maar twee berichten vervalst, maar de schade had veel groter kunnen zijn.

In plaats van zijn onrechtmatig verkregen BNB te dumpen en onmiddellijk argwaan bij zichzelf te wekken, deponeerde hij ze in verschillende DeFi-protocollen op de BSC, om andere tokens te lenen, die hij vervolgens van de BSC overbrugde. Naar schatting heeft de aanvaller op deze manier meer dan 100 miljoen dollar gestolen. 

Nadat het geld van de aanvaller op BSC was bevroren, hervatte de keten ongeveer acht uur later zijn normale activiteiten. 

Moran harde vork succesvol geactiveerd

Als hotfix heeft Binance een netwerkupgrade uitgebracht met versie 1.1.16, die vandaag via hard fork is geactiveerd op blokhoogte 22,107,423. De upgrade, Moran genaamd, verhelpt de kwetsbaarheid in de iavl-hashcheck die de aanvaller heeft misbruikt om zijn stortingsbewijzen te vervalsen. 

Hoewel er geen verdere actie vereist is voor gewone BSC-gebruikers, moeten validatorknooppunten de upgrade zo snel mogelijk implementeren, tenzij ze dit al hebben gedaan.