Время Читать: 5 минут
Изучение взломов, которые приводят к потерям в миллионы долларов.
Кросс-чейн мосты не нуждаются в представлении. Они использовались некоторое время и являются отличным способом перемещения средств из одной сети в другую. Мосты помогают улучшить наш опыт в Web3, так как QuillAudits помогает повысить безопасность протоколов. Поскольку мосты имеют дело с большим количеством средств, разумно обеспечить их безопасность, а безопасность часто является главным приоритетом в таких протоколах. Тем не менее, 2022 год был полон хакерских атак.
- Январь: Qubit — 80 миллионов долларов
- Февраль: «Червоточина» — 375 миллионов долларов.
- Март: Ronin Bridge — 624 миллиона долларов.
- Июнь: Harmony — 97 миллионов долларов.
- Август: Nomad Bridge — 190 миллионов долларов.
Что случилось?
Давайте поговорим по отдельности о каждом упомянутом выше взломе кроссчейна, чтобы узнать, что с ними пошло не так, и научиться принимать более правильные решения.
Кубит
27 января 2022 года Qubit, пример
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]”>межсетевой мост был взломан. Серия транзакций была следующей: после получения 77,162 15,688 qxETH с помощью эксплойта злоумышленник использовал их для заимствования 767 80 wETH, а затем конвертировал их в XNUMX BTC-B, а затем использовал эти средства для получения стейблкоинов и установки некоторых протоколов. Все это привело к потере XNUMX миллионов долларов общей стоимости.
Удивительно, но этот эксплойт возник из-за логической ошибки в Qubit Finance код. Эта уязвимость позволила злоумышленникам отправлять вредоносные входные данные в функции контракта, что приводило к выводу токенов в BSC, в то время как в Ethereum не было внесено депозита.
Код контракта Qubit
В основе этой эксплуатируемой уязвимости лежит функция tokenAddress.safeTransferFrom() в коде Qubit Finance. Злоумышленник понял, что эта функция не возвращается, когда tokenAddress имеет значение null.
Wormhole
Червоточина, один из популярных мостов, облегчающих межсетевые транзакции, связывающие блокчейны Solana и Ethereum, потеряла около 320 миллионов долларов, заняв второе место после моста Ронина (подробнее об этом позже) в 2022 году.
2 февраля 2022 года злоумышленник попытался обойти процесс проверки моста Червоточины на Солане. Злоумышленник обошел шаг проверки и успешно внедрил поддельную учетную запись sysvar и, как известно, отчеканил 120,000 3 wETH. В твиттере от 320 февраля было объявлено об эксплуатации их протокола на сумму 10 миллионов долларов. Чтобы исправить ситуацию, материнская компания Wormhole объявила о поставке эфира взамен украденного после того, как не получила ответа о вознаграждении в размере XNUMX миллионов долларов в обмен на украденные средства злоумышленнику.
Вы были бы удивлены, узнав, что все это стало возможным благодаря всего одной устаревшей функции. ДА!!, корнем этого эксплойта была устаревшая функция «load_current_index» в «verify_signatures», которая занимается процессом проверки. Проблема с устаревшей функцией «load_current_index» заключалась в том, что она не проверяла подлинность введенной «учетной записи sysvar» как «системную sysvar», что создавало возможности для использования злоумышленником.
Источник:- Ссылка
Мост Ронинов
Скрытый взлом, который даже не был замечен в течение следующих 6 дней, пока пользователь не уведомил команду о невозможности вывести около 5 ETH с бриджа, что привело к обнаружению украденных средств.
Этот взлом предположительно является атакой северокорейской Lazarus Group и привел к потере около 600 миллионов долларов. Это был взлом, основанный на компрометации закрытых ключей узлов валидатора с использованием целевых фишинговых атак в качестве основной причины эксплойта.
Сеть ronin использует набор из девяти узлов-валидаторов для подтверждения транзакции на мосту, а для внесения или снятия средств требуется одобрение большинства, то есть пяти из этих узлов. В ноябре 2021 года Axie DAO временно разрешила Sky Mavis подписывать транзакции от своего имени, но знаете что? Пособие никогда не отменяли.
Это означает, что Sky Mavis все еще может генерировать подписи. Злоумышленник воспользовался этим и сначала скомпрометировал системы Sky Mavis и использовал эти подписи для создания подписи от стороннего валидатора, контролируемого Axie DAO. Короче говоря, имея доступ к системам Sky Mavis, злоумышленник может сгенерировать действительные подписи для пяти сетевых валидаторов ronin, а затем успешно вывести средства.
Гармония
23 июня 2022 года мост Harmony был скомпрометирован, и на мосту были размещены различные токены, включая ETH, WETH, WBTC, USDT, USDC и т. д. С рекордными убытками в размере около 97 миллионов долларов мост Harmony стал жертвой креста. -цепной хак, похожий на Ронина.
Чтобы совершить транзакцию, пользователю потребуется как минимум 2 из 5 MultiSig, что означает, что для проверки транзакции требуется 2 ключа из 5 ключей. Но злоумышленники скомпрометировали 2 ключа, чтобы слить деньги. Все это было возможно, потому что злоумышленники могли получить доступ и расшифровать достаточное количество этих ключей.
Кочевой мост
Это было 1 августа 2022 года, когда Nomad Bridged столкнулся с эксплойтом, который привел к убыткам в размере 190 миллионов долларов. Это был
” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]”>кроссчейн-мост между Ethereum, Moonbeam, Avalanche, Evmos и Mikomeda.
Находясь на третьей позиции с убытком в 190 миллионов долларов, мост был скомпрометирован из-за уязвимости в процессе инициализации, что позволило злоумышленникам обойти процесс проверки и вывести средства из контракта моста.
Злоумышленник мог напрямую вызвать функцию «process()», которая принимала параметр «_message». Злоумышленник с произвольным «_message» смог обойти проверку. Позже контракт должен был гарантировать, что хэш сообщения был подтвержден с помощью функции acceptRoot(). Затем все сводится к функции «доказать()», в которой есть требуемый оператор, который необходимо выполнить. Злоумышленник может успешно выполнить атаку только потому, что ноль как действительный подтвержденный корень может обойти требуемую проверку.
Заключение
По статистике 2022 года ясно, что мосты были целью, что привело к убыткам на миллионы. На 5 эксплойтов в кроссчейн-протоколах приходится около 56% от общего числа атак Web3. Несмотря на то, что это один из самых полезных инструментов, безопасность мостов отсутствует, и они становятся жертвами атак.
Скорее всего, скоро мы увидим больше таких атак на мосты. В этих обстоятельствах крайне важно, чтобы мосты обезопасили себя и своих пользователей. В следующем блоге мы вернемся с руководством по аудиту, чтобы помочь вам понять несколько важных проверок, необходимых для обеспечения безопасности протокола.
Между тем, помните, что альтернативы походу на аудит нет. С аудитом вы можете быть уверены в безопасности. Мало того, пользователи не будут доверять протоколу. Прохождение аудита выгодно всем, поэтому проведите аудит вашего проекта и помогите Web3 более безопасное место. А кто может проводить аудит лучше, чем QuillAudits? Посетите наш веб-сайт сегодня и проверьте больше таких блогов.
23 Просмотры
- SEO-контент и PR-распределение. Получите усиление сегодня.
- Платоблокчейн. Интеллект метавселенной Web3. Расширение знаний. Доступ здесь.
- Источник: https://blog.quillhash.com/2023/03/23/part-1-bridging-the-blockchain-a-deep-dive-into-cross-chain-hacks-and-failures/
- :является
- $ 10 миллионов
- 000
- 1
- 2021
- 2022
- 27
- 77
- a
- в состоянии
- О нас
- выше
- доступ
- Учетная запись
- достигнутый
- на самом деле
- плюс
- После
- Все
- якобы
- Позволяющий
- альтернатива
- и
- объявило
- Другой
- утверждение
- утвердить
- МЫ
- около
- AS
- At
- атаковать
- нападки
- попытка
- аудит
- аудит
- Август
- лавина
- награда
- Axie
- назад
- основанный
- BE
- , так как:
- не являетесь
- Лучшая
- между
- блокчейн
- блокчейны
- Блог
- блоги
- брать в долг
- МОСТ
- мостовая
- мосты
- шунтирование
- BSC
- by
- призывают
- CAN
- Вызывать
- цепь
- проверка
- Проверки
- обстоятельства
- Очистить
- код
- Компания
- Ослабленный
- ПОДТВЕРЖДЕНО
- контракт
- контроль
- конвертировать
- Основные
- может
- создали
- Пересекать
- Кросс-цепи
- решающее значение
- DAO
- Дней
- сделка
- Акции
- решения
- Decrypt
- глубоко
- глубокое погружение
- пополнять счет
- Несмотря на
- назначение
- DID
- непосредственно
- Dont
- вниз
- каждый
- воспитывать
- обеспечивать
- Эквивалент
- ошибка
- и т.д
- ETH
- Ether
- Эфириума
- Даже
- все члены
- эвмос
- пример
- выполнять
- опыт
- Эксплуатировать
- эксплуатация
- Эксплуатируемый
- использует
- сталкиваются
- облегчающий
- не настоящие
- Падение
- февраль
- несколько
- Во-первых,
- недостаток
- следующим образом
- Что касается
- от
- полный
- функция
- Функции
- средства
- порождать
- получить
- получающий
- будет
- группы
- мотыга
- взломанa
- взломы
- произошло
- Гармония
- хэш
- Есть
- помощь
- помогает
- держать
- HTTPS
- значение
- in
- неспособность
- В том числе
- в отдельности
- Инфраструктура
- Введение
- вопрос
- IT
- ЕГО
- январь
- ключи
- Знать
- Корейский
- Лазарь
- Лазарь Групп
- вести
- УЧИТЬСЯ
- привело
- Вероятно
- связывающий
- логический
- от
- потери
- серия
- сделанный
- Главная
- Большинство
- сделать
- макс-ширина
- означает
- упомянутый
- сообщение
- миллиона
- миллионы
- чеканились
- чеканка
- деньги
- Лунный луч
- БОЛЕЕ
- самых
- двигаться
- Multisig
- Необходимость
- потребности
- сеть
- следующий
- узлы
- НОМАД
- север
- Ноябрь
- Ноябрь 2021
- номер
- of
- on
- ONE
- параметр
- материнская компания
- часть
- фишинг
- фишинговые атаки
- Часть
- Платон
- Платон Интеллектуальные данные
- ПлатонДанные
- Популярное
- должность
- возможное
- приоритет
- частная
- Частные ключи
- процесс
- Проект
- протокол
- протоколы
- доказанный
- приводит
- положил
- Кубит
- Квиллхэш
- разумный
- запись
- помнить
- замещать
- обязательный
- ответ
- в результате
- возвращают
- возвращаться
- RONIN
- Ронин Сеть
- Комната
- корень
- безопаснее
- Сохранность
- Во-вторых
- безопасный
- безопасность
- Серии
- набор
- Короткое
- подпись
- Подписи
- аналогичный
- ситуация
- Sky
- Sky Mavis
- умный
- умный контракт
- So
- Solana
- некоторые
- Источник
- Копье Фишинг
- Stablecoins
- заявление
- Статистика
- Шаг
- По-прежнему
- украли
- украденные средства
- Успешно
- такие
- достаточный
- поставка
- удивлен
- системы
- Говорить
- цель
- команда
- который
- Ассоциация
- Источник
- их
- Их
- сами
- Эти
- В третьих
- сторонние
- Через
- время
- в
- сегодня
- Лексемы
- инструменты
- топ
- Всего
- сделка
- Сделки
- перевод
- Доверие
- Tweet
- под
- понимать
- отпереть
- Предстоящие
- USDC
- USDT
- Информация о пользователе
- пользователей
- VALIDATE
- Validator
- узлы валидатора
- валидаторы
- ценностное
- различный
- проверка
- проверить
- Жертва
- Войти
- уязвимость
- Путь..
- wBTC
- Web3
- Вебсайт
- влажный
- Что
- , которые
- в то время как
- КТО
- все
- будете
- вывода
- выводов
- червоточина
- стоимость
- бы
- Неправильно
- Ты
- ВАШЕ
- зефирнет
- нуль