Ni una sola línea de código del puente entre cadenas fue comprometida y, aun así, pudieron sacar dinero real.
El 23 de octubre, Zon, cofundador de Initia, confirmó que una vulnerabilidad Day 0 en MoveVM (basado en Cosmos SDK) permitió a un atacante acuñar de la nada AUSD, ETH y USDC en Initia L1, y luego transferirlos a Ethereum a través del puente de LayerZero, llevándose unos 2,7 millones de dólares. Apenas unos minutos después de que el investigador Spreek diera la voz de alarma públicamente, L1 y todos los rollups se detuvieron de emergencia. El INIT nativo no se vio afectado; Upbit y Bithumb suspendieron los depósitos de INIT.
Desde el punto de vista de ingeniería:
· El puente verifica que «el mensaje realmente provenga de esa cadena»; si la firma es válida, libera los fondos.
· El puente no comprueba si el saldo en la cadena de origen se acuñó de la nada, ni puede hacerlo.
· Por eso, el límite de seguridad de los activos entre cadenas lo determina la más débil de las dos cadenas.
Tres consejos para los pequeños inversores:
1) No confundas las stablecoins puenteadas de cadenas pequeñas con las monedas del mismo nombre en la cadena principal.
2) Guarda las cantidades grandes en la cadena nativa; usa los puentes para utilizar los fondos, no para almacenarlos.
3) Durante una interrupción, consulta únicamente los canales oficiales. Trata como phishing cualquier enlace de «registro de compensación» o «migración de activos».
Poder detener toda la cadena con un solo clic esta vez salvó la situación, pero también demuestra que la «descentralización» de esta cadena tiene un interruptor general. Mi actitud ante estos interruptores es la misma que ante las chicas guapas: se agradecen mucho cuando hacen falta, pero no voy a fingir que no existen 😏
#链上安全 #跨链桥 #Initia
El 23 de octubre, Zon, cofundador de Initia, confirmó que una vulnerabilidad Day 0 en MoveVM (basado en Cosmos SDK) permitió a un atacante acuñar de la nada AUSD, ETH y USDC en Initia L1, y luego transferirlos a Ethereum a través del puente de LayerZero, llevándose unos 2,7 millones de dólares. Apenas unos minutos después de que el investigador Spreek diera la voz de alarma públicamente, L1 y todos los rollups se detuvieron de emergencia. El INIT nativo no se vio afectado; Upbit y Bithumb suspendieron los depósitos de INIT.
Desde el punto de vista de ingeniería:
· El puente verifica que «el mensaje realmente provenga de esa cadena»; si la firma es válida, libera los fondos.
· El puente no comprueba si el saldo en la cadena de origen se acuñó de la nada, ni puede hacerlo.
· Por eso, el límite de seguridad de los activos entre cadenas lo determina la más débil de las dos cadenas.
Tres consejos para los pequeños inversores:
1) No confundas las stablecoins puenteadas de cadenas pequeñas con las monedas del mismo nombre en la cadena principal.
2) Guarda las cantidades grandes en la cadena nativa; usa los puentes para utilizar los fondos, no para almacenarlos.
3) Durante una interrupción, consulta únicamente los canales oficiales. Trata como phishing cualquier enlace de «registro de compensación» o «migración de activos».
Poder detener toda la cadena con un solo clic esta vez salvó la situación, pero también demuestra que la «descentralización» de esta cadena tiene un interruptor general. Mi actitud ante estos interruptores es la misma que ante las chicas guapas: se agradecen mucho cuando hacen falta, pero no voy a fingir que no existen 😏
#链上安全 #跨链桥 #Initia