Cadeia BNB passa por hard fork após exploração de US$ 100 milhões

.

Uma vulnerabilidade recente na cadeia BNB foi corrigida com sucesso com o hard fork Moran.

ATUALIZAÇÃO: Resposta oficial da cadeia BNB.

Estamos honrados com o apoio, trabalho duro e dedicação da comunidade da qual temos orgulho de fazer parte.https://t.co/r0TcZYxFzJ

— Cadeia BNB (@BNBCHAIN) 7 de outubro de 2022

Atacante escapa com 100 milhões de dólares

A Binance Smart Chain foi temporariamente interrompida em 6 de outubro depois que a Binance notou atividades irregulares em sua plataforma de contrato inteligente. Isso foi possível contatando todos os 26 nós validadores delegados do BSC, um por um, e pedindo-lhes para suspender o blockchain.

Logo descobriu-se que a atividade irregular foi o resultado de uma exploração na qual um total de 2 milhões de BNB (~ 540 milhões de dólares) foram criados do nada. 

De acordo com uma análise do usuário do Twitter @samczsun, o invasor conseguiu forjar uma prova de que depositou o dinheiro no BSC Token Hub, que conecta o legado Binance Beacon Chain e o Binance Smart Chain.

Em resumo, houve um bug na maneira como a Binance Bridge verificava as provas que poderiam permitir que os invasores falsificassem mensagens arbitrárias. Felizmente, o invasor aqui forjou apenas duas mensagens, mas o dano poderia ter sido muito pior.

No entanto, em vez de descartar seu BNB ilícito e imediatamente atrair suspeitas para si mesmo, ele os depositou em vários protocolos DeFi no BSC, para emprestar outros tokens, que ele então superou o BSC. Estima-se que o atacante tenha roubado mais de 100 milhões de dólares desta forma. 

Depois que os fundos do invasor foram congelados no BSC, a cadeia retomou suas operações regulares cerca de oito horas depois. 

Hard fork Moran ativado com sucesso

Como um hotfix, a Binance lançou uma atualização de rede com a versão 1.1.16, que foi ativada via hard fork hoje na altura do bloco 22,107,423. A atualização, apelidada de Moran, corrige a vulnerabilidade na verificação de hash iavl que o invasor explorou para forjar suas provas de depósito. 

Embora nenhuma ação adicional seja necessária para usuários regulares do BSC, os nós validadores devem implementar a atualização o mais rápido possível, a menos que já tenham feito isso.