Jembatan lintas-chain WAX diserang: 5 transaksi memindahkan sekitar $75 ribu, kerentanan masih belum ditambal saat diungkap
$WAXP Kesimpulannya: ini adalah serangan jembatan lintas-chain klasik dengan pola “chain sumber berbohong, chain tujuan langsung mengeksekusi”. Kerugiannya tidak besar, tetapi struktur kerentanannya patut dicatat.
1. Linimasa. Pada 09:06 (UTC), penyerang membuat akun fasdfas.al di WAX; pada 09:46, ia menarik 52,986.50 USDC versi wrapped; pada 09:47, ia menarik USDT, DAI, WETH, dan WBTC versi wrapped dengan cara yang sama. Pada 10:00 (UTC), pihak Solana melepas 52,986.50 USDC sesuai instruksi; pada 10:05 (UTC), pihak Ethereum melepas aset terkait.
2. Rincian jumlah. Total 5 transaksi tersebut adalah 52,986 USDC, 21,558 USDT, 840 DAI, 2.55 WETH, dan 0.11 WBTC. Perkiraan awal Blockaid sekitar $75 ribu; pembaruan TokenPost pada 23 Oktober memperkirakan nilainya sekitar $90 ribu.
3. Akar masalah. Masalahnya bukan di sisi penerima. Menurut analisis Blockaid, kontrak di sisi Solana dan Ethereum “benar” dalam mengeksekusi informasi yang diterima. Kesalahan ada pada pelaporan buku besar di sisi WAX—penyerang tidak membayar aset terkait di WAX, tetapi jembatan tetap menganggap penarikan itu sah. Selisih antara buku besar di sisi WAX dan persediaan sebenarnya sekitar $1,522.
4. Status terkini. Saat mengungkapkan insiden ini, Blockaid mengategorikannya sebagai eksploitasi yang masih berlangsung; laporan pemantauan pada pagi 23 Oktober menyebutkan bahwa kerentanan tersebut masih belum ditambal dan cakupan kerugian berpotensi terus bertambah.
Menurut saya, permukaan serangan jembatan lintas-chain sering kali bukan terletak pada logika verifikasi chain tujuan, melainkan pada keandalan proses pelaporan di chain sumber. Pengguna yang menyimpan aset di jembatan hanya bisa menunggu secara pasif sampai pengumuman perbaikan dirilis.
#WAX #KeamananJembatanLintasChain
Ini hanya pendapat pribadi dan bukan saran investasi