Nem uma linha de código da ponte cross-chain foi comprometida e, ainda assim, dinheiro de verdade foi parar nas mãos dos invasores.
Em 23 de outubro, Zon, cofundador da Initia, confirmou: uma vulnerabilidade Day 0 no MoveVM (baseado no Cosmos SDK) permitiu que um invasor cunhasse do nada AUSD, ETH e USDC na Initia L1 e, em seguida, os transferisse pela ponte LayerZero para o Ethereum, levando cerca de US$ 2,7 milhões. Pouco mais de dez minutos depois de o pesquisador Spreek emitir um alerta público, a L1 e todos os rollups foram desligados às pressas. O INIT nativo não foi afetado, mas Upbit e Bithumb suspenderam os depósitos de INIT.
Do ponto de vista de engenharia:
· A ponte verifica se a mensagem realmente veio daquela cadeia; se a assinatura confere, libera os fundos;
· A ponte não verifica se os saldos na cadeia de origem foram cunhados do nada — e nem tem como fazer isso;
· Por isso, o limite de segurança dos ativos cross-chain é determinado pela mais fraca das duas cadeias.
Três dicas para investidores de varejo:
1) Não trate stablecoins transferidas por ponte em cadeias menores como se fossem as moedas de mesmo nome da cadeia principal;
2) Mantenha grandes quantias na cadeia nativa; use transferências cross-chain para usar os ativos, não para guardá-los;
3) Durante uma paralisação, confie apenas nos canais oficiais. Trate qualquer link de “cadastro para compensação” ou “migração de ativos” como phishing.
Poder desligar uma cadeia inteira com um único botão salvou o dia desta vez, mas também mostra que a “descentralização” dessa cadeia tem um interruptor geral. Minha atitude em relação a esse tipo de interruptor é igual à minha atitude em relação a mulheres bonitas: fico muito grato quando é útil, mas não vou fingir que ele não existe 😏
#链上安全 #跨链桥 #Initia
Em 23 de outubro, Zon, cofundador da Initia, confirmou: uma vulnerabilidade Day 0 no MoveVM (baseado no Cosmos SDK) permitiu que um invasor cunhasse do nada AUSD, ETH e USDC na Initia L1 e, em seguida, os transferisse pela ponte LayerZero para o Ethereum, levando cerca de US$ 2,7 milhões. Pouco mais de dez minutos depois de o pesquisador Spreek emitir um alerta público, a L1 e todos os rollups foram desligados às pressas. O INIT nativo não foi afetado, mas Upbit e Bithumb suspenderam os depósitos de INIT.
Do ponto de vista de engenharia:
· A ponte verifica se a mensagem realmente veio daquela cadeia; se a assinatura confere, libera os fundos;
· A ponte não verifica se os saldos na cadeia de origem foram cunhados do nada — e nem tem como fazer isso;
· Por isso, o limite de segurança dos ativos cross-chain é determinado pela mais fraca das duas cadeias.
Três dicas para investidores de varejo:
1) Não trate stablecoins transferidas por ponte em cadeias menores como se fossem as moedas de mesmo nome da cadeia principal;
2) Mantenha grandes quantias na cadeia nativa; use transferências cross-chain para usar os ativos, não para guardá-los;
3) Durante uma paralisação, confie apenas nos canais oficiais. Trate qualquer link de “cadastro para compensação” ou “migração de ativos” como phishing.
Poder desligar uma cadeia inteira com um único botão salvou o dia desta vez, mas também mostra que a “descentralização” dessa cadeia tem um interruptor geral. Minha atitude em relação a esse tipo de interruptor é igual à minha atitude em relação a mulheres bonitas: fico muito grato quando é útil, mas não vou fingir que ele não existe 😏
#链上安全 #跨链桥 #Initia