XRP Ledger-тегі кроссчейн-мост tx $200 000 жоғалтты: эксплойттің мәліметтері және Harmony-дің параллельді шабуылы
9 тамызда tx экожүйесін XRP Ledger-мен байланыстыратын көпір мақсатты шабуылға ұшырады. Шабуылдаушы көпірдің резервтік әмиянын толығымен босатып, шамамен $200 000 XRP шығарып алды. Оқиға депозиттерді өңдеу логикасындағы критикалық осалдықты анықтады, бұл жүйеге жалған транзакцияларды нақты түсімдер ретінде қабылдауға мүмкіндік берді.
Эксплойттің мәні мынада болды: көпір tx желісінде нақты XRP жоқ толтыру туралы жалған жазбалар негізінде «оралған» токендерді генерациялады. Осы фантомдық активтерді пайдаланып, хакер оларды қоймадағы нақты монеталарға айырбастады. Шабуыл пайдаланушылардың мейннеттегі, сондай-ақ орталықтандырылған және орталықтандырылмаған биржалардағы қаражаттарына әсер етпегенін атап өту маңызды — шығын тек көпірдің резервтік пулымен шектелді.
Менің деректерім бойынша, шығару процесі 97 минутқа созылды. Осы уақыт ішінде көпір мекенжайынан екі жаңа әмиянға 94 транзакция жасалды, нәтижесінде баланс ~200 410 XRP-ден небәрі 493,5 XRP-ге дейін қысқарды. Әр операция валидациядан өткені айта қаларлық: 28 ретранслятор кілтінің 17-і төлемді растады, бұл белгіленген шекті мәнге сәйкес келді. Бұл шабуылдаушының жеке кілттерді бұзбағанын, керісінше көпірдің бизнес-логикасын манипуляциялағанын көрсетеді, ал XRP Ledger-дің өзі толығымен жұмысқа қабілетті болып қалды.
tx командасы жедел әрекет етті: көпір тоқтатылды, осал код түзетілді, ал транзакциялар бойынша барлық деректер ФБР-дің Интернет-қылмыстармен күрес орталығына жіберілді. Қазір әзірлеушілер зардап шеккен пайдаланушыларға өтемақы төлеу нұсқаларын қарастыруда.
Параллельді соққы: Harmony қайтадан эпицентрде
Сол уақытта L1-блокчейн Harmony жеке хакерлік шабуылға ұшырады. Менің бақылауларым бойынша, шабуылдаушы жалпы ұсыныстың 26% құрайтын 4 млрд ONE токенін эмиссиялау үшін бос блоктарды пайдаланды. Осы соманың 2,8 млрд монетасы дереу сауда алаңдарына ауыстырылды, бұл бағаның шамамен 30% -ға құлдырауына себеп болды. Жоба командасы биржалармен бірлесіп ұрланған қаражатты мұздату бойынша жұмыс істеуде, сондай-ақ желіні кері қайтару мүмкіндігін қарастыруда.
Бұл Harmony үшін алғашқы жағдай емес: 2022 жылдың маусымында жоба Horizon көпірі арқылы $100 млн жоғалтқан болатын, сол кезде хакерлер мультисиг-әмиянды бақылауға алған. Сонда Elliptic және ФБР сарапшылары шабуылды солтүстіккореялық Lazarus тобына жүктеген. Ағымдағы оқиғаның басқа тамырлары болуы мүмкін, бірақ кроссчейн-инфрақұрылымдағы осалдықтардың қайталануы осы тауашадағы қауіпсіздік стандарттарына елеулі сұрақтар туғызады.
Менің талдауым: Бұл жағдай — кроссчейн-көпірлердің DeFi экожүйесіндегі ең осал нүкте болып қала беретінінің тағы бір еске салуы. Кілттердің бұзылмауына қарамастан, депозиттерді валидациялаудағы қателер апатты салдарға әкелуі мүмкін. Инвесторларға мұндай көпірлерде активтерді сақтау тәсілін қайта қарап, көпдеңгейлі аудиттік тексеруден өткен дәлелденген шешімдерге артықшылық беру керек.