Подлинная подпись ещё не означает, что эти деньги должны достаться тебе.
9 ноября, 08:42 по лондонскому времени. Blockaid сообщил об атаке на кроссчейн-мост Ankr в сети Ethereum: злоумышленник внёс небольшую сумму в Optimism и пять раз подряд вызвал withdraw(). Согласно анализу первопричины от SlowMist, все пять кроссчейн-квитанций ссылались на одну и ту же настоящую транзакцию в Optimism, но получатель, токен и сумма были изменены. При этом каждая квитанция содержала подпись доверенного консенсуса моста. По разным оценкам, ущерб составил от 286 до 305 тысяч долларов. Были выведены ankrETH, aMATICb, ankrPOL и ANKR; большую часть уже обменяли на ETH. На данный момент Ankr официально ещё не прокомментировала ситуацию.
Взгляд инженера:
· Контракт проверяет лишь, «настоящая ли печать», но не сверяется с исходной сетью: «что именно внесли и не обменяли ли уже этот депозит?»;
· Один депозит удалось обменять пять раз — значит, квитанция не привязана к событию в исходной сети и защита от повторного воспроизведения отсутствует;
· Происхождение подписей всё ещё выясняется. Пока не подтверждено, были ли скомпрометированы подписанты.
Три совета держателям токенов:
1）Если у вас есть кроссчейн-активы вроде ankrETH или ankrPOL, сначала проверьте официальные объявления и не переходите ни по каким «ссылкам для восстановления»;
2）Используйте кроссчейн-мосты только для переводов, а активы для долгосрочного хранения держите в исходной сети;
3）Перед крупным кроссчейн-переводом проверьте: есть ли независимая проверка, лимит на одну транзакцию и возможность экстренно приостановить работу.
Банковский кассир даже старую квитанцию с печатью сверит с выпиской, а мост на сотни тысяч долларов проверяет только печать. Как думаете, нужно ли обязательно вводить лимит на вывод средств с кроссчейн-мостов? Пишите в комментариях 😏
#链上安全 #Кроссчейн-мост
$ANKR
9 ноября, 08:42 по лондонскому времени. Blockaid сообщил об атаке на кроссчейн-мост Ankr в сети Ethereum: злоумышленник внёс небольшую сумму в Optimism и пять раз подряд вызвал withdraw(). Согласно анализу первопричины от SlowMist, все пять кроссчейн-квитанций ссылались на одну и ту же настоящую транзакцию в Optimism, но получатель, токен и сумма были изменены. При этом каждая квитанция содержала подпись доверенного консенсуса моста. По разным оценкам, ущерб составил от 286 до 305 тысяч долларов. Были выведены ankrETH, aMATICb, ankrPOL и ANKR; большую часть уже обменяли на ETH. На данный момент Ankr официально ещё не прокомментировала ситуацию.
Взгляд инженера:
· Контракт проверяет лишь, «настоящая ли печать», но не сверяется с исходной сетью: «что именно внесли и не обменяли ли уже этот депозит?»;
· Один депозит удалось обменять пять раз — значит, квитанция не привязана к событию в исходной сети и защита от повторного воспроизведения отсутствует;
· Происхождение подписей всё ещё выясняется. Пока не подтверждено, были ли скомпрометированы подписанты.
Три совета держателям токенов:
1）Если у вас есть кроссчейн-активы вроде ankrETH или ankrPOL, сначала проверьте официальные объявления и не переходите ни по каким «ссылкам для восстановления»;
2）Используйте кроссчейн-мосты только для переводов, а активы для долгосрочного хранения держите в исходной сети;
3）Перед крупным кроссчейн-переводом проверьте: есть ли независимая проверка, лимит на одну транзакцию и возможность экстренно приостановить работу.
Банковский кассир даже старую квитанцию с печатью сверит с выпиской, а мост на сотни тысяч долларов проверяет только печать. Как думаете, нужно ли обязательно вводить лимит на вывод средств с кроссчейн-мостов? Пишите в комментариях 😏
#链上安全 #Кроссчейн-мост
$ANKR