Que la firma sea auténtica no significa que este dinero te corresponda.
A las 08:42 del 9 de noviembre, hora de Londres, Blockaid dio la alarma: el puente cross-chain de Ethereum de Ankr estaba siendo atacado. El atacante hizo un pequeño depósito en Optimism y llamó a withdraw() cinco veces seguidas. Según el análisis de causa raíz de SlowMist, los cinco recibos cross-chain hacían referencia a la misma transacción real de Optimism; solo se habían cambiado el destinatario, el token y la cantidad. Además, cada uno llevaba una firma de consenso de confianza del puente. Las estimaciones de las pérdidas varían entre 286.000 y 305.000 dólares. Se retiraron ankrETH, aMATICb, ankrPOL y ANKR, y la mayoría se convirtió en ETH. Hasta ahora, Ankr no ha publicado ninguna respuesta oficial.
Desde la perspectiva de ingeniería:
· El contrato solo comprueba «si el sello es auténtico», pero no consulta la cadena de origen para verificar «qué se depositó con esta operación y si ya se canjeó»;
· Que un depósito se pueda canjear cinco veces indica que el recibo no está vinculado individualmente al evento de la cadena de origen y que no hay protección contra la repetición;
· Aún se investiga cómo se generaron las firmas. Por el momento, no se ha confirmado si los firmantes fueron comprometidos.
Tres consejos para quienes tienen estos tokens:
1) Si tienes activos cross-chain como ankrETH o ankrPOL, consulta primero los anuncios oficiales y no hagas clic en ningún «enlace de recuperación»;
2) Usa los puentes cross-chain solo para mover fondos; para mantenerlos a largo plazo, déjalos en la cadena nativa;
3) Antes de transferir grandes cantidades entre cadenas, comprueba si hay verificación independiente, límites por transacción y posibilidad de pausa de emergencia.
Un cajero de banco comprobaría los movimientos incluso si ve un recibo antiguo sellado; en cambio, un puente con cientos de miles de dólares solo se fija en el sello. ¿Crees que debería ser obligatorio imponer límites de retiro a los puentes cross-chain? Cuéntanos en los comentarios 😏
#链上安全 #跨链桥
$ANKR
A las 08:42 del 9 de noviembre, hora de Londres, Blockaid dio la alarma: el puente cross-chain de Ethereum de Ankr estaba siendo atacado. El atacante hizo un pequeño depósito en Optimism y llamó a withdraw() cinco veces seguidas. Según el análisis de causa raíz de SlowMist, los cinco recibos cross-chain hacían referencia a la misma transacción real de Optimism; solo se habían cambiado el destinatario, el token y la cantidad. Además, cada uno llevaba una firma de consenso de confianza del puente. Las estimaciones de las pérdidas varían entre 286.000 y 305.000 dólares. Se retiraron ankrETH, aMATICb, ankrPOL y ANKR, y la mayoría se convirtió en ETH. Hasta ahora, Ankr no ha publicado ninguna respuesta oficial.
Desde la perspectiva de ingeniería:
· El contrato solo comprueba «si el sello es auténtico», pero no consulta la cadena de origen para verificar «qué se depositó con esta operación y si ya se canjeó»;
· Que un depósito se pueda canjear cinco veces indica que el recibo no está vinculado individualmente al evento de la cadena de origen y que no hay protección contra la repetición;
· Aún se investiga cómo se generaron las firmas. Por el momento, no se ha confirmado si los firmantes fueron comprometidos.
Tres consejos para quienes tienen estos tokens:
1) Si tienes activos cross-chain como ankrETH o ankrPOL, consulta primero los anuncios oficiales y no hagas clic en ningún «enlace de recuperación»;
2) Usa los puentes cross-chain solo para mover fondos; para mantenerlos a largo plazo, déjalos en la cadena nativa;
3) Antes de transferir grandes cantidades entre cadenas, comprueba si hay verificación independiente, límites por transacción y posibilidad de pausa de emergencia.
Un cajero de banco comprobaría los movimientos incluso si ve un recibo antiguo sellado; en cambio, un puente con cientos de miles de dólares solo se fija en el sello. ¿Crees que debería ser obligatorio imponer límites de retiro a los puentes cross-chain? Cuéntanos en los comentarios 😏
#链上安全 #跨链桥
$ANKR