Самоопределящ се като етичен хакер е открил "уязвимост за няколко милиона долара" в моста, свързващ Етериум (ETH) и Arbitrum Nitro.
Twitter потребителят “riptide” описа експлойта като използване на инициализираща функция за задаване на собствен адрес на моста. Този адрес би отвлякъл всички входящи депозити от тези, които се опитват да прехвърлят средства от Етериум към Arbitrum Nitro. За докладването на тази уязвимост е получил награда от 400 ETH.
Riptide обясни експлойта в публикация на 20 септември:
Бихме могли или да се насочим селективно към големи ETH депозити, за да останем незабелязани за по-дълъг период от време, да изсмукваме всеки един депозит, който идва през моста, или да изчакаме и просто да изпреварим следващия масивен ETH депозит.
Най-големият депозит, регистриран във входящия договор, е 168,000 ETH (~$250 милиона), като типичните общи депозити за период от 24 часа варират от ~1,000 до ~5,000 ETH.
Нашият PoC скрипт за атака по-долу извиква initialize(), разгръща нашия подправен мост, имитира потребител, който извиква depositEth(), и показва увеличението на баланса на моста.
Както потребителят посочи, атака потенциално би могла да доведе до загуба на етер на стойност стотици милиони, тъй като най-големият регистриран депозит е 168,000 ETH на стойност над $225 милиона, а типичните депозити варират от 1,000 до 5,000 ETH за период от 24 часа на стойност между $1.34 и $6.7 милиона.
Riptide благодари, че екипът на Arbitrum е предоставил награда от 400 ETH на стойност над $536.500, но по-късно в Twitter добави, че такава находка би трябвало да отговаря на условията за максимална награда, която е на стойност $2 милиона.
No big deal just bridging a cool $470mm through the same Inbox contract 👀
Definitely should be eligible for a max bounty
— riptide (@0xriptide) September 20, 2022
Arbitrum е “OP-rollup“ от втори слой на ETH, който обединява партиди от транзакции, преди да ги изпрати в мрежата на Етериум. Идеята е да се сведе до минимум претоварването на мрежата и да спести от такси.
На 31 август Arbitrum Nitro стартира ъпгрейд, чиято цел е да опрости комуникацията между Arbitrum и Етериум, както и да увеличи пропускателната способност на транзакциите при по-ниски такси.
НЕ ИЗПУСКАЙ: Над $190 милиона бяха източени от Nomad – ето как
Хакването на мостове често пъти беше успешно тази година, като $100 милиона бяха откраднати от моста Horizon през юни. Пример за този тренд е и инцидента с моста Nomad през август, при който бяха източени общо $190 милиона.
В значително развитие властите на САЩ арестуваха Кеоне Родригез и Уилям Хил съоснователите на Samourai Wallet, по обвинения, свързани с управление на нелицензиран бизнес за прехвърляне на пари и заговор за извършване на пране на пари.
Съобщава се, че SEC търси рекордна глоба от $5.3 милиарда срещу До Куон, изпадналия в немилост основател на екосистемата Terra.
Уилям Моро е изправен пред обвинения в банкови измами, свързани с крипто схемата OneCoin, според документи в Окръжния съд на САЩ за Южния окръг на Ню Йорк.
Доклади от 23 април 2024 г. разкриват, че Chivo, държавният Биткойн портфейл на Ел Салвадор, е станал жертва на пробив в киберсигурността.