Een cross-chain bridge die het Alephium-netwerk (ALPH) verbindt met Ethereum (ETH) en BNB Chain verloor in ongeveer zeven minuten grofweg $815.000 nadat aanvallers vervalste berichten via de backend wisten te forceren.
Belangrijkste punten:
- Aanvallers haalden ongeveer $815.000 weg uit Alephiums TokenBridge over twee ketens in circa zeven minuten.
- Ze mintten 13,76 miljoen ongedekte wrapped ALPH, meer dan de totale eerdere wrapped-voorraad van de bridge.
- Alephium wijt dit aan een off-chain backend-fout, niet aan gestolen guardian-sleutels, en heeft beloofd getroffen gebruikers terug te betalen.
Alephium TokenBridge razendsnel leeggetrokken
Securitybedrijf Blockaid detecteerde de aanval op 30 mei als eerste, waarna de vrijwillige responseenheid SEAL 911 snel bij het onderzoek aansloot. De aanvaller duwde gefabriceerde transfer-goedkeuringen door de TokenBridge op zowel Ethereum als BNB Chain, trok de reserves leeg en mintte nieuwe tokens.
De hele sequence duurde ongeveer zeven minuten.
Op Ethereum nam de dief 200.967 Tether (USDT), 17.594 USD Coin (USDC) en kleinere hoeveelheden Wrapped Ether en Wrapped Bitcoin mee, terwijl aan de BNB Chain-kant 36.750 USDT en 24,386 Wrapped BNB werden buitgemaakt. Dezelfde wallet mintte daarnaast 13,76 miljoen wrapped ALPH zonder dat daar echte ALPH achter stonden.
Die buit overschreed de volledige eerdere wrapped-voorraad van de bridge, waardoor de aanvaller munten in handen kreeg die letterlijk uit het niets waren gecreëerd.
Ook te lezen: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Off-chain fout, geen gestolen sleutels
In eerste berichten werd het lek toegeschreven aan drie van de vier gecompromitteerde guardian-sleutels, maar Alephium zei later dat de echte oorzaak een off-chain bug in de bridge-backend was, en Blockaid paste zijn eerste lezing daarop aan. Het project draait een private fork van het Wormhole-messaging-systeem met slechts vier ondertekenaars, dus dezelfde fout kan ook in andere bridges zitten die op vergelijkbare code zijn gebouwd.
Deze wijziging van oorzaak plaatst het hele incident in een ander daglicht.
Alephium belooft gebruikers terug te betalen
Alephium heeft de bridge stilgelegd, houders opgeroepen liquiditeit uit ALPH-pools te halen en een herstelpad beloofd voor gebruikers van wie de coins binnen de bridge opgesloten bleven. Met de bridge offline kan de aanvaller de ongedekte wrapped ALPH er niet meer doorheen sturen, en de gestolen middelen bleven op het moment van openbaarmaking onaangeroerd in de wallet staan. Het team zegt alle opties te overwegen om getroffen gebruikers volledig te compenseren, met een volledig post-mortem dat deze week wordt verwacht.
De inbraak verlengt een zware periode voor cross-chain bridges, de infrastructuur die assets tussen afzonderlijke blockchains vervoert.
Een recente aanval op de Verus-Ethereum bridge drained about $11.58 million, en de tactiek met vervalste berichten doet denken aan Wormholes verlies van meer dan $320 miljoen enkele jaren eerder. Een recente telling pegged mei op meer dan $52 miljoen aan gestolen crypto in de sector.
Lees hierna: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800