Ang TokenBridge na nag-uugnay sa Ethereum at Alephium ay nasakop noong Mayo 30. Sinabi ng blockchain security company na Blockaid na ang mga attacker ay kumontrol sa 3 sa 4 na guardian keys at ginamit ito upang magpapalit ng forged cross-chain approval messages, na nagresulta sa paglipat ng halos $815,000 sa loob ng 7 minuto.
Ang point ng pag-atake ay sa signature ng guardian
Ang Alephium TokenBridge ay ginagamit upang i-connect ang Ethereum at ang Alephium chain. Kapag nagpapadala ang mga user ng ALPH mula sa Alephium patungo sa Ethereum, ang native asset ay muna nililock sa isang panig, at pagkatapos ay ginagawa ang kaugnay na wrapped asset na wALPH sa panig ng Ethereum.
Ang proseso na ito ay nakasalalay sa mga pirma ng guardian upang patunayan kung ang cross-chain message ay wasto. Ayon sa disenyo ng tulay, kailangan ng hindi bababa sa 3 pirma mula sa 4 na guardian upang matanggap ang mensahe ng paglipat. Sinabi ni Blockaid na ang mga attacker ay nakakuha ng mga private key ng 3 sa mga guardian, kaya sila ay nakakapag-likha ng mga VAA na tila wasto, o mga mensahe ng pagpapahintulot sa cross-chain.
Ipinapalabas ang iba't ibang asset pagkatapos ng pagsasagawa ng fake message
Pagkatapos makamit ang kakayahang mag-sign, ang mga attacker ay hindi lamang nag-forged ng proseso ng pagmimina ng wALPH, kundi nagpapalabas din ng maling pagpapalabas ng mga aset. Ipinakilala ng tulay ang mga forged na mensahe bilang wastong pagtarik, kaya inilabas nito ang iba’t ibang aset na nakatago sa tulay.
- USDT
- USDC
- WBTC
- WETH
Ipinahayag din ni Blockaid na ang mga attacker ay gumawa ng karagdagang 13.76 milyong wALPH nang walang aktwal na pag-deposito ng ALPH. Ang dami na ito ay hihigit sa kabuuang dami ng naka-encapsulated na supply na nasa paligid, na nangangahulugan na ang mga aset na ito ay walang totoong collateral na sumusuporta dito.
Kapareho ng mga dating pag-atake sa cross-chain bridge
Ang pangyayaring ito ay may pagkakatulad sa nakaraang pag-atake sa Wormhole cross-chain bridge. Parehong naglalaman ng pagpapalit ng cross-chain message at pagbuo ng mga asset na walang sapat na collateral.
Binanggit din ng ulat na ang跨链桥 sa pagitan ng Verus at Ethereum ay dinakip noong recent, na nagresulta sa pagkawala ng halos $11.58 milyon. Ang mga patuloy na insidente sa跨链桥 ay muli'y ipinakita na ang multi-sign verification at key management ay patuloy na mga pangunahing panganib sa mga protokol ng bridge.