Auch wenn keine einzige Zeile Code der Cross-Chain-Bridge geknackt wurde, kann trotzdem echtes Geld abfließen.
Am 23. Oktober bestätigte Initia-Mitgründer Zon: Eine Day-0-Schwachstelle in MoveVM (basierend auf dem Cosmos SDK) ermöglichte es Angreifern, auf Initia L1 AUSD, ETH und USDC aus dem Nichts zu prägen und sie anschließend über die LayerZero-Bridge zu Ethereum zu transferieren. Dabei erbeuteten sie rund 2,7 Millionen US-Dollar. Wenige Minuten, nachdem der Forscher Spreek öffentlich gewarnt hatte, wurden L1 und alle Rollups vorsorglich abgeschaltet. Der native INIT-Token war nicht betroffen; Upbit und Bithumb setzten INIT-Einzahlungen aus.
Aus Sicht von Entwicklern:
· Die Bridge prüft, ob „die Nachricht tatsächlich von dieser Chain stammt“; ist die Signatur gültig, gibt sie die Gelder frei.
· Ob das Guthaben auf der Quell-Chain aus dem Nichts geprägt wurde, prüft die Bridge nicht – und kann es auch nicht prüfen.
· Deshalb ist die Sicherheit von Cross-Chain-Assets höchstens so hoch wie die der schwächeren der beiden Chains.
Drei Tipps für Kleinanleger:
1）Behandelt Stablecoins, die über eine Bridge auf eine kleine Chain gelangt sind, nicht wie gleichnamige Coins auf der Mainchain.
2）Größere Beträge auf der nativen Chain halten; Cross-Chain-Transfers nur zur Nutzung, nicht zur Aufbewahrung.
3）Während eines Ausfalls nur offiziellen Kanälen vertrauen. Links zu „Entschädigungsregistrierung“ oder „Vermögensmigration“ grundsätzlich als Phishing behandeln.
Dass sich eine ganze Chain per Knopfdruck abschalten lässt, hat diesmal Leben gerettet – zeigt aber auch, dass die „Dezentralisierung“ dieser Chain einen Hauptschalter hat. Meine Haltung zu solchen Schaltern ist wie meine Haltung zu hübschen Frauen: Wenn sie nützlich sind, bin ich dankbar, aber ich tue nicht so, als gäbe es sie nicht 😏
#链上安全 #跨链桥 #Initia
Am 23. Oktober bestätigte Initia-Mitgründer Zon: Eine Day-0-Schwachstelle in MoveVM (basierend auf dem Cosmos SDK) ermöglichte es Angreifern, auf Initia L1 AUSD, ETH und USDC aus dem Nichts zu prägen und sie anschließend über die LayerZero-Bridge zu Ethereum zu transferieren. Dabei erbeuteten sie rund 2,7 Millionen US-Dollar. Wenige Minuten, nachdem der Forscher Spreek öffentlich gewarnt hatte, wurden L1 und alle Rollups vorsorglich abgeschaltet. Der native INIT-Token war nicht betroffen; Upbit und Bithumb setzten INIT-Einzahlungen aus.
Aus Sicht von Entwicklern:
· Die Bridge prüft, ob „die Nachricht tatsächlich von dieser Chain stammt“; ist die Signatur gültig, gibt sie die Gelder frei.
· Ob das Guthaben auf der Quell-Chain aus dem Nichts geprägt wurde, prüft die Bridge nicht – und kann es auch nicht prüfen.
· Deshalb ist die Sicherheit von Cross-Chain-Assets höchstens so hoch wie die der schwächeren der beiden Chains.
Drei Tipps für Kleinanleger:
1）Behandelt Stablecoins, die über eine Bridge auf eine kleine Chain gelangt sind, nicht wie gleichnamige Coins auf der Mainchain.
2）Größere Beträge auf der nativen Chain halten; Cross-Chain-Transfers nur zur Nutzung, nicht zur Aufbewahrung.
3）Während eines Ausfalls nur offiziellen Kanälen vertrauen. Links zu „Entschädigungsregistrierung“ oder „Vermögensmigration“ grundsätzlich als Phishing behandeln.
Dass sich eine ganze Chain per Knopfdruck abschalten lässt, hat diesmal Leben gerettet – zeigt aber auch, dass die „Dezentralisierung“ dieser Chain einen Hauptschalter hat. Meine Haltung zu solchen Schaltern ist wie meine Haltung zu hübschen Frauen: Wenn sie nützlich sind, bin ich dankbar, aber ich tue nicht so, als gäbe es sie nicht 😏
#链上安全 #跨链桥 #Initia