Jambatan Rentas Rantaian Harmony Dieksploitasi untuk $100J

Pasukan Harmony telah mengesahkan jambatan Horizon telah dieksploitasi untuk kira-kira $100 juta dalam pelbagai token.

Jambatan Harmony Mencecah $100J

Harmony, satu blok Proof-of-Stake yang serasi dengan EVM, telah menyebabkan jambatan rantai silang Horizonnya dieksploitasi dalam pelanggaran keselamatan yang besar.

1/ Pasukan Harmony telah mengenal pasti kecurian yang berlaku pagi ini di jambatan Horizon berjumlah lebih kurang. $100MM. Kami telah mula bekerjasama dengan pihak berkuasa negara dan pakar forensik untuk mengenal pasti pelakunya dan mendapatkan semula dana yang dicuri.

Lagi?

- Harmoni? (@harmonyprotocol) Jun 23, 2022

Pasukan Harmony mengesahkan dalam catatan Twitter pagi Jumaat bahawa Horizon, jambatan yang menghubungkan rangkaian Harmony ke BNB Chain dan Ethereum, telah dieksploitasi untuk sekitar $100 juta dalam pelbagai token. “Pasukan Harmony telah mengenal pasti kecurian yang berlaku pagi ini di jambatan Horizon berjumlah lebih kurang. $100MM,” satu catatan daripada akaun Twitter rasmi Harmony berkata, sambil menambah bahawa ia sudah bekerjasama dengan pihak berkuasa negara dan pakar forensik untuk mengenal pasti penyerang dan berpotensi mendapatkan semula dana yang dicuri.

Menurut data dalam rantaian, eksploitasi bermula pada sekitar 12:02 UTC pada hari Khamis dan berlangsung selama kira-kira 15 jam. Penyerang melakukan 16 transaksi berniat jahat dalam pelbagai saiz, antara 14,190 hingga 30 ETH sebelum pasukan Harmony menyedari serangan itu dan menghentikan jambatan Horizon untuk menghalang transaksi jahat selanjutnya. Selepas mencuri pelbagai token bernilai kira-kira $100 juta, termasuk Frax, Frax Shares, Ethereum yang dibungkus, Bitcoin yang dibungkus, Aave, Sushi, Tether, dan Binance USD, penyerang menghantarnya ke dompet yang berbeza, menukarnya dengan Ethereum pada pertukaran terdesentralisasi Uniswap, dan kemudian memindahkan dana yang dicuri kembali ke dompet asal.

Luar biasa untuk jenis eksploitasi ini, penyerang belum lagi cuba untuk menyama-namakan dana yang dicuri melalui protokol privasi seperti Tunai Tornado. Dalam Tweet susulan, pasukan Harmony menyatakan bahawa ia bekerjasama dengan Biro Penyiasatan Persekutuan dan beberapa firma keselamatan siber untuk menjejak dan mengenal pasti penyerang. Penglibatan daripada pihak berkuasa AS bermakna terdapat kemungkinan Pejabat Kawalan Aset Asing akan menambah dompet penyerang ke alamatnya yang dibenarkan menyenaraihitamkan, dengan berkesan melumpuhkannya daripada mencuci dana yang dicuri melalui Tornado Cash.

Walaupun Harmony belum lagi berkongsi butiran khusus tentang bagaimana eksploitasi itu berlaku, pakar keselamatan blockchain telah membuat spekulasi bahawa penyerang berkemungkinan mendapat akses kepada sekurang-kurangnya dua daripada lima kunci peribadi dompet berbilang tandatangan yang mengawal kontrak pintar Horizon bridge. Vektor serangan ini telah pun berlaku diserlahkan pada bulan April oleh Ape Dev, pengasas nama samaran firma usaha niaga tertumpu kripto Chainstride Capital. Mereka berkata mereka telah menyiasat jambatan Harmony di Ethereum dan mendapati bahawa "jika dua daripada empat penandatangan multisig dikompromi, kami akan melihat satu lagi penggodaman 9 angka," yang nampaknya persis apa yang berlaku semalam.

Mudit Gupta, ketua pegawai keselamatan maklumat di Polygon, mengulas bahawa ini bukan "penggodaman rantaian sekat" tetapi "penggodaman tradisional", dan membuat spekulasi bahawa penyerang berkemungkinan menjejaskan pelayan yang mengehoskan kunci dompet berbilang tandatangan Horizon. "Sebaik sahaja di dalam pelayan, mereka boleh mengakses kunci yang disimpan dalam teks biasa untuk menandatangani transaksi yang sah," katanya, sambil menambah bahawa eksploitasi itu "sangat serupa" dengan Axie Infinity $551.8 juta Rangkaian Ronin mengeksploitasi dari bulan Mac. Pada bulan April, Jabatan Perbendaharaan AS disahkan bahawa kumpulan jenayah siber tajaan negara Korea Utara yang dikenali sebagai Kumpulan Lazarus berada di sebalik eksploitasi Rangkaian Ronin.

Harmony menyatakan bahawa jambatan Bitcoinnya yang tidak amanah tidak terjejas oleh eksploitasi itu dan ia akan terus mengemas kini orang ramai dengan maklumat baharu apabila ia masuk.

Pendedahan: Pada masa penulisan, pengarang karya ini memiliki ETH dan beberapa mata wang kripto lain.