A assinatura é verdadeira, mas isso não significa que esse dinheiro seja seu.
Às 08:42 de 9 de novembro, horário de Londres, a Blockaid emitiu um alerta: a ponte da Ankr para Ethereum estava sendo atacada. O invasor fez um pequeno depósito na Optimism e chamou withdraw() cinco vezes seguidas. A análise da causa raiz feita pela SlowMist concluiu que os cinco comprovantes cross-chain faziam referência à mesma transação real da Optimism; o que foi alterado foram o destinatário, o token e o valor. Além disso, cada comprovante trazia uma assinatura de consenso confiável da ponte. As estimativas das perdas variam de US$ 286 mil a US$ 305 mil. Foram retirados ankrETH, aMATICb, ankrPOL e ANKR, e a maior parte já foi convertida em ETH. Até o momento, a Ankr ainda não se pronunciou publicamente.
Do ponto de vista de engenharia:
· O contrato só verifica se “o carimbo é verdadeiro”, sem consultar a cadeia de origem para confirmar “o que esse depósito continha e se já foi resgatado”;
· Um único depósito pôde ser resgatado cinco vezes, o que indica que os comprovantes não estão vinculados individualmente aos eventos da cadeia de origem e que não há proteção contra replay;
· A origem das assinaturas ainda está sendo investigada. Ainda não foi confirmado se algum signatário foi comprometido.
Três dicas para quem tem esses tokens:
1) Se você tem ativos cross-chain como ankrETH e ankrPOL, confira primeiro os comunicados oficiais e não clique em nenhum “link de recuperação”;
2) Use pontes cross-chain apenas para transferências. Para manter ativos por mais tempo, deixe-os na cadeia nativa;
3) Antes de fazer uma transferência cross-chain de grande valor, verifique se há validação independente, limite por transação e possibilidade de pausa emergencial.
Até um caixa de banco confere o extrato quando vê um recibo antigo carimbado; já uma ponte que movimenta centenas de milhares de dólares parece olhar só para o carimbo. Você acha que as pontes cross-chain deveriam ter limites obrigatórios para saques? Conta pra gente nos comentários 😏
#链上安全 #PonteEntreCadeias
$ANKR
Às 08:42 de 9 de novembro, horário de Londres, a Blockaid emitiu um alerta: a ponte da Ankr para Ethereum estava sendo atacada. O invasor fez um pequeno depósito na Optimism e chamou withdraw() cinco vezes seguidas. A análise da causa raiz feita pela SlowMist concluiu que os cinco comprovantes cross-chain faziam referência à mesma transação real da Optimism; o que foi alterado foram o destinatário, o token e o valor. Além disso, cada comprovante trazia uma assinatura de consenso confiável da ponte. As estimativas das perdas variam de US$ 286 mil a US$ 305 mil. Foram retirados ankrETH, aMATICb, ankrPOL e ANKR, e a maior parte já foi convertida em ETH. Até o momento, a Ankr ainda não se pronunciou publicamente.
Do ponto de vista de engenharia:
· O contrato só verifica se “o carimbo é verdadeiro”, sem consultar a cadeia de origem para confirmar “o que esse depósito continha e se já foi resgatado”;
· Um único depósito pôde ser resgatado cinco vezes, o que indica que os comprovantes não estão vinculados individualmente aos eventos da cadeia de origem e que não há proteção contra replay;
· A origem das assinaturas ainda está sendo investigada. Ainda não foi confirmado se algum signatário foi comprometido.
Três dicas para quem tem esses tokens:
1) Se você tem ativos cross-chain como ankrETH e ankrPOL, confira primeiro os comunicados oficiais e não clique em nenhum “link de recuperação”;
2) Use pontes cross-chain apenas para transferências. Para manter ativos por mais tempo, deixe-os na cadeia nativa;
3) Antes de fazer uma transferência cross-chain de grande valor, verifique se há validação independente, limite por transação e possibilidade de pausa emergencial.
Até um caixa de banco confere o extrato quando vê um recibo antigo carimbado; já uma ponte que movimenta centenas de milhares de dólares parece olhar só para o carimbo. Você acha que as pontes cross-chain deveriam ter limites obrigatórios para saques? Conta pra gente nos comentários 😏
#链上安全 #PonteEntreCadeias
$ANKR