Un puente entre cadenas que conecta la red Alephium (ALPH) con Ethereum (ETH) y la cadena de BNB perdió aproximadamente 815.000 dólares en unos siete minutos después de que atacantes forzaran mensajes falsificados a través de su backend.
Puntos clave:
- Atacantes drenaron unos 815.000 dólares del TokenBridge de Alephium en dos cadenas en aproximadamente siete minutos.
- Acuñaron 13,76 millones de ALPH envueltos sin respaldo, más que todo el suministro previo de tokens envueltos del puente.
- Alephium culpa a una falla en el backend off-chain, no a llaves de guardianes robadas, y ha prometido reembolsar a los usuarios afectados.
TokenBridge de Alephium drenado rápidamente
La firma de seguridad Blockaid primero detectó el ataque el 30 de mayo, y la unidad de respuesta voluntaria SEAL 911 se unió rápidamente a la investigación. El atacante envió aprobaciones de transferencia fabricadas a través del TokenBridge tanto en Ethereum como en BNB Chain, vació las reservas y acuñó nuevos tokens.
Toda la secuencia tomó alrededor de siete minutos.
En Ethereum, el ladrón tomó 200.967 Tether (USDT), 17.594 USD Coin (USDC) y cantidades menores de Wrapped Ether y Wrapped Bitcoin, mientras que en el lado de BNB Chain se perdieron 36.750 USDT y 24,386 Wrapped BNB. La misma billetera también acuñó 13,76 millones de ALPH envueltos sin ningún ALPH real bloqueado detrás.
Ese botín superó todo el suministro previo de tokens envueltos del puente, dejando al atacante con monedas creadas de la nada.
También lee: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Falla off-chain, no llaves robadas
Los primeros reportes atribuyeron la brecha a tres de cuatro llaves de guardianes comprometidas, pero Alephium después dijo que la causa real fue un error off-chain en el backend del puente, y Blockaid suavizó su primera lectura para que coincidiera. El proyecto ejecuta un fork privado del sistema de mensajería Wormhole con solo cuatro firmantes, por lo que la misma falla podría estar presente en otros puentes construidos sobre un código similar.
El cambio en la causa replantea todo el incidente.
Alephium se compromete a reembolsar a los usuarios
Alephium ha detenido el puente, ha instado a los tenedores a retirar liquidez de los pools de ALPH y ha prometido una vía de recuperación para los usuarios cuyas monedas permanecen bloqueadas dentro. Con el puente fuera de línea, el atacante no puede devolver los ALPH envueltos sin respaldo a través de él, y los fondos robados permanecían inmóviles en la billetera al momento de la divulgación. El equipo afirma que está evaluando todas las opciones para resarcir completamente a los usuarios afectados, con una autopsia completa prevista para esta semana.
La brecha prolonga un período duro para los puentes entre cadenas, la infraestructura que transporta activos entre diferentes blockchains.
Un ataque reciente al Verus-Ethereum bridge drained about $11.58 million, y la táctica de mensajes falsificados recuerda la pérdida de más de 320 millones de Wormhole años atrás. Un recuento reciente estimó que mayo superó los 52 millones de dólares en cripto robada en todo el sector.
Lee a continuación: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800