El TokenBridge que conecta Ethereum con Alephium fue atacado el 30 de mayo. La empresa de seguridad blockchain Blockaid indicó que el atacante controló 3 de las 4 claves de guardianes y utilizó esto para falsificar mensajes de aprobación entre cadenas, transfiriendo aproximadamente 815.000 dólares en activos en unos 7 minutos.
El punto de ataque está en la firma del guardián
Alephium TokenBridge conecta la cadena Ethereum y Alephium. Cuando los usuarios transfieren ALPH desde Alephium a Ethereum, el activo nativo se bloquea primero en un lado, y luego se acuña el activo envuelto correspondiente wALPH en el lado de Ethereum.
Este proceso depende de la firma de los guardianes para confirmar la validez de los mensajes entre cadenas. Según el diseño del puente, se requiere la firma de al menos 3 de los 4 guardianes para aprobar el mensaje de transferencia. Blockaid indicó que el atacante obtuvo las claves privadas de 3 de los guardianes, lo que le permitió falsificar VAA aparentemente válidas, es decir, mensajes de aprobación entre cadenas.
Release multiple assets after forging a message
Después de obtener la capacidad de firma, el atacante no solo falsificó el proceso de acuñación de wALPH, sino que también hizo que el puente ejecutara incorrectamente la liberación de activos. El puente identificó estos mensajes falsificados como retiros válidos, por lo que desbloqueó varios activos que originalmente estaban depositados en el puente.
- USDT
- USDC
- WBTC
- WETH
Blockaid también indicó que los atacantes acuñaron adicionalmente 13,76 millones de wALPH sin depositar realmente ALPH. Esta cantidad supera el total previo de la oferta encapsulada en circulación, lo que significa que estos activos no tienen respaldo real.
Similar a ataques anteriores a puentes cruzados
Este evento es similar al anterior ataque al puente cruzado Wormhole. Ambos involucraron mensajes cruzados falsificados y la generación de activos sin respaldo suficiente.
El informe también mencionó que recientemente se atacó el puente intercadena entre Verus y Ethereum, con pérdidas de aproximadamente 11,58 millones de dólares. Los sucesivos incidentes de puentes intercadena vuelven a poner de manifiesto que la validación multisignatura y la gestión de claves siguen siendo los principales puntos de riesgo en los protocolos de puente.