La signature est authentique, mais cela ne signifie pas que cet argent te revient.
Le 9 novembre à 08 h 42, heure de Londres, Blockaid a donné l’alerte : le pont inter-chaînes Ethereum d’Ankr était attaqué. L’attaquant a effectué un petit dépôt sur Optimism, puis appelé withdraw() cinq fois de suite. Selon l’analyse des causes profondes de SlowMist, les cinq justificatifs inter-chaînes faisaient tous référence à la même véritable transaction Optimism ; seuls le destinataire, le token et le montant avaient été modifiés, et chacun portait la signature de consensus fiable du pont. Selon les estimations, les pertes se situent entre 286 000 et 305 000 dollars. Les actifs dérobés comprennent ankrETH, aMATICb, ankrPOL et ANKR, dont la plupart ont été convertis en ETH. À ce jour, Ankr n’a pas encore publié de réponse officielle.
Du point de vue des ingénieurs :
· Le contrat vérifie seulement si « le sceau est authentique », sans consulter la chaîne source pour vérifier « ce que contenait ce dépôt et s’il a déjà été échangé » ;
· Un même dépôt a pu être échangé cinq fois : cela indique que les justificatifs ne sont pas liés un à un aux événements de la chaîne source et qu’il n’existe pas de protection contre les rejeux ;
· L’origine des signatures fait encore l’objet d’une enquête. On ne sait pas encore si les signataires ont été compromis.
Trois conseils aux détenteurs :
1) Si tu détiens des actifs inter-chaînes comme ankrETH ou ankrPOL, consulte d’abord les annonces officielles et ne clique sur aucun « lien de récupération » ;
2) Ne garde sur les ponts inter-chaînes que les fonds nécessaires au transit ; pour une détention à long terme, conserve-les sur leur chaîne native ;
3) Avant un transfert inter-chaînes important, vérifie s’il existe une validation indépendante, une limite par transaction et une possibilité de mise en pause d’urgence.
Un guichetier vérifie encore les relevés lorsqu’on lui présente un vieux reçu tamponné, mais un pont qui gère des centaines de milliers de dollars se contente de regarder le sceau. À ton avis, les ponts inter-chaînes devraient-ils être obligés d’imposer des limites de retrait ? Dis-nous ce que tu en penses dans les commentaires 😏
#链上安全 #PontInterChaînes
$ANKR
Le 9 novembre à 08 h 42, heure de Londres, Blockaid a donné l’alerte : le pont inter-chaînes Ethereum d’Ankr était attaqué. L’attaquant a effectué un petit dépôt sur Optimism, puis appelé withdraw() cinq fois de suite. Selon l’analyse des causes profondes de SlowMist, les cinq justificatifs inter-chaînes faisaient tous référence à la même véritable transaction Optimism ; seuls le destinataire, le token et le montant avaient été modifiés, et chacun portait la signature de consensus fiable du pont. Selon les estimations, les pertes se situent entre 286 000 et 305 000 dollars. Les actifs dérobés comprennent ankrETH, aMATICb, ankrPOL et ANKR, dont la plupart ont été convertis en ETH. À ce jour, Ankr n’a pas encore publié de réponse officielle.
Du point de vue des ingénieurs :
· Le contrat vérifie seulement si « le sceau est authentique », sans consulter la chaîne source pour vérifier « ce que contenait ce dépôt et s’il a déjà été échangé » ;
· Un même dépôt a pu être échangé cinq fois : cela indique que les justificatifs ne sont pas liés un à un aux événements de la chaîne source et qu’il n’existe pas de protection contre les rejeux ;
· L’origine des signatures fait encore l’objet d’une enquête. On ne sait pas encore si les signataires ont été compromis.
Trois conseils aux détenteurs :
1) Si tu détiens des actifs inter-chaînes comme ankrETH ou ankrPOL, consulte d’abord les annonces officielles et ne clique sur aucun « lien de récupération » ;
2) Ne garde sur les ponts inter-chaînes que les fonds nécessaires au transit ; pour une détention à long terme, conserve-les sur leur chaîne native ;
3) Avant un transfert inter-chaînes important, vérifie s’il existe une validation indépendante, une limite par transaction et une possibilité de mise en pause d’urgence.
Un guichetier vérifie encore les relevés lorsqu’on lui présente un vieux reçu tamponné, mais un pont qui gère des centaines de milliers de dollars se contente de regarder le sceau. À ton avis, les ponts inter-chaînes devraient-ils être obligés d’imposer des limites de retrait ? Dis-nous ce que tu en penses dans les commentaires 😏
#链上安全 #PontInterChaînes
$ANKR