Uma bridge cross-chain ligando a rede Alephium (ALPH) ao Ethereum (ETH) e à BNB Chain perdeu cerca de US$ 815.000 em aproximadamente sete minutos, depois que invasores forçaram mensagens forjadas por meio de seu backend.
Pontos principais:
- Invasores drenaram cerca de US$ 815.000 da TokenBridge da Alephium em duas chains em aproximadamente sete minutos.
- Eles cunharam 13,76 milhões de ALPH wrapped sem lastro, mais do que todo o fornecimento wrapped anterior da bridge.
- A Alephium culpa uma falha off-chain no backend, não chaves de guardiões roubadas, e se comprometeu a reembolsar os usuários afetados.
TokenBridge da Alephium drenada rapidamente
A empresa de segurança Blockaid primeiro detectou o ataque em 30 de maio, com a unidade de resposta voluntária SEAL 911 juntando-se rapidamente à investigação. O invasor empurrou aprovações de transferência fabricadas pela TokenBridge tanto no Ethereum quanto na BNB Chain, drenou as reservas e cunhou novos tokens.
Toda a sequência levou cerca de sete minutos.
No Ethereum, o ladrão levou 200.967 Tether (USDT), 17.594 USD Coin (USDC) e quantias menores de Wrapped Ether e Wrapped Bitcoin, enquanto o lado da BNB Chain perdeu 36.750 USDT e 24,386 Wrapped BNB. A mesma carteira também cunhou 13,76 milhões de ALPH wrapped sem nenhum ALPH real bloqueado como lastro.
Esse saque superou todo o fornecimento wrapped anterior da bridge, deixando o invasor segurando moedas criadas do nada.
Também leia: Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Falha off-chain, não chaves roubadas
Relatos iniciais atribuíram a violação a três de quatro chaves de guardiões comprometidas, mas a Alephium depois disse que a verdadeira causa foi um bug off-chain no backend da bridge, e a Blockaid suavizou sua leitura inicial para acompanhar. O projeto executa um fork privado do sistema de mensagens Wormhole com apenas quatro signatários, portanto a mesma falha pode estar presente em outras bridges construídas sobre código similar.
A mudança na causa reformula todo o incidente.
Alephium promete reembolsar usuários
A Alephium interrompeu a bridge, orientou os detentores a retirarem liquidez dos pools de ALPH e prometeu um caminho de recuperação para os usuários cujas moedas permaneceram bloqueadas. Com a bridge offline, o invasor não pode devolver o ALPH wrapped sem lastro por meio dela, e os fundos roubados permaneciam parados na carteira no momento da divulgação. A equipe diz que está avaliando todas as opções para tornar os usuários afetados inteiramente ressarcidos, com um relatório completo (post-mortem) previsto para esta semana.
A violação estende um período duro para bridges cross-chain, a infraestrutura que transporta ativos entre blockchains distintas.
Um ataque recente na Verus-Ethereum bridge drained about $11.58 million, e a tática de mensagens forjadas ecoa a perda de mais de US$ 320 milhões da Wormhole anos antes. Um levantamento estimou o mês de maio em mais de US$ 52 milhões em cripto roubada em todo o setor.
Read Next: ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800