Tanda tangannya asli, bukan berarti uang ini memang menjadi hakmu.
Waktu London, 9 November pukul 08.42, Blockaid mengeluarkan peringatan: jembatan lintas rantai Ethereum milik Ankr sedang diserang. Penyerang menggunakan satu deposit Optimism bernilai sangat kecil untuk memanggil withdraw() lima kali berturut-turut. Analisis akar masalah dari SlowMist menyebutkan bahwa lima bukti lintas rantai semuanya merujuk pada transaksi Optimism asli yang sama, tetapi penerima, jenis token, dan jumlahnya diubah. Masing-masing juga dilengkapi tanda tangan konsensus tepercaya milik bridge. Menurut berbagai perkiraan, kerugiannya berkisar antara US$286.000 hingga US$305.000. Token yang dicuri mencakup ankrETH, aMATICb, ankrPOL, dan ANKR; sebagian besar telah ditukar menjadi ETH. Hingga kini, pihak Ankr belum memberikan tanggapan resmi secara terbuka.
Dari sudut pandang engineer:
· Kontrak hanya memeriksa "apakah capnya asli", tanpa memverifikasi ke rantai sumber "apa yang disimpan dalam deposit ini dan apakah sudah pernah ditukarkan";
· Satu deposit bisa ditukarkan lima kali, yang menunjukkan bahwa bukti tidak diikat satu per satu ke peristiwa di rantai sumber dan tidak ada perlindungan terhadap replay;
· Asal-usul tanda tangan masih diselidiki. Belum dipastikan apakah penandatangannya telah diretas.
Tiga hal bagi pemegang token:
1）Jika kamu memiliki aset lintas rantai seperti ankrETH atau ankrPOL, periksa pengumuman resmi terlebih dahulu dan jangan mengeklik tautan "pemulihan" apa pun;
2）Simpan hanya dana yang sedang digunakan untuk menyeberang di bridge; untuk penyimpanan jangka panjang, kembalikan ke rantai asal;
3）Sebelum melakukan transfer lintas rantai dalam jumlah besar, pastikan: apakah ada verifikasi independen, batas per transaksi, dan kemampuan untuk menghentikan operasi dalam keadaan darurat.
Teller bank tetap memeriksa mutasi rekening meski melihat kuitansi lama yang sudah dicap. Tapi bridge yang menangani ratusan ribu dolar malah cuma memeriksa capnya. Menurutmu, apakah bridge lintas rantai seharusnya diwajibkan menerapkan batas penarikan? Bagikan pendapatmu di kolom komentar 😏
#链上安全 #跨链桥
$ANKR
Waktu London, 9 November pukul 08.42, Blockaid mengeluarkan peringatan: jembatan lintas rantai Ethereum milik Ankr sedang diserang. Penyerang menggunakan satu deposit Optimism bernilai sangat kecil untuk memanggil withdraw() lima kali berturut-turut. Analisis akar masalah dari SlowMist menyebutkan bahwa lima bukti lintas rantai semuanya merujuk pada transaksi Optimism asli yang sama, tetapi penerima, jenis token, dan jumlahnya diubah. Masing-masing juga dilengkapi tanda tangan konsensus tepercaya milik bridge. Menurut berbagai perkiraan, kerugiannya berkisar antara US$286.000 hingga US$305.000. Token yang dicuri mencakup ankrETH, aMATICb, ankrPOL, dan ANKR; sebagian besar telah ditukar menjadi ETH. Hingga kini, pihak Ankr belum memberikan tanggapan resmi secara terbuka.
Dari sudut pandang engineer:
· Kontrak hanya memeriksa "apakah capnya asli", tanpa memverifikasi ke rantai sumber "apa yang disimpan dalam deposit ini dan apakah sudah pernah ditukarkan";
· Satu deposit bisa ditukarkan lima kali, yang menunjukkan bahwa bukti tidak diikat satu per satu ke peristiwa di rantai sumber dan tidak ada perlindungan terhadap replay;
· Asal-usul tanda tangan masih diselidiki. Belum dipastikan apakah penandatangannya telah diretas.
Tiga hal bagi pemegang token:
1）Jika kamu memiliki aset lintas rantai seperti ankrETH atau ankrPOL, periksa pengumuman resmi terlebih dahulu dan jangan mengeklik tautan "pemulihan" apa pun;
2）Simpan hanya dana yang sedang digunakan untuk menyeberang di bridge; untuk penyimpanan jangka panjang, kembalikan ke rantai asal;
3）Sebelum melakukan transfer lintas rantai dalam jumlah besar, pastikan: apakah ada verifikasi independen, batas per transaksi, dan kemampuan untuk menghentikan operasi dalam keadaan darurat.
Teller bank tetap memeriksa mutasi rekening meski melihat kuitansi lama yang sudah dicap. Tapi bridge yang menangani ratusan ribu dolar malah cuma memeriksa capnya. Menurutmu, apakah bridge lintas rantai seharusnya diwajibkan menerapkan batas penarikan? Bagikan pendapatmu di kolom komentar 😏
#链上安全 #跨链桥
$ANKR