Limang buwan na sa 2026, at patuloy ang mga pag-atake. Ang Blockaid, isang kumpanya sa seguridad ng blockchain, ay natuklasan ang isang bagong exploit na nagtatarget sa Ethereum’s Alephium TokenBridge noong ika-30 ng Mayo.
Ayon sa imbestigasyon, tatlo sa apat na naka-compromise na guardian keys na nag-sign ng forged VAAs (Verified Action Approvals) ay ginamit upang mawalan ng $815,000 sa loob ng pitong minuto.
Paano napag-isa ang mga guardian key?
Para sa konteksto, ang Alephium TokenBridge ay isang tulay na nag-uugnay sa Ethereum at ang Alephium blockchain.
Kapag nagpapalit ang mga gumagamit mula sa Alephium sa Ethereum [ETH], ang totoong ALPH ay nakalock sa isang chain lamang. Sa susunod, gagamitin ang Ethereum upang magsagawa ng wrapped version (wALPH).
Bago pahintulutan ang pagminta, tatlong tagapag-alaga ng tulay ay kumikinabang na ang pagkakasara ay totoo. Dagdag pa, upang patunayan ang mga paglipat sa iba’t ibang chain, gumagamit ang sistema ng mga lagda ng tagapag-alaga.
Para sa isang mensahe ng pag-transfer na matatanggap ng tulay, kailangan ng tatlóng pagsasagawa ng apat na tagapangalaga. Gayunpaman, sa pag-atake sa Alephium TokenBridge, ang mga pribadong susi ng tatlong tagapangalaga ay kahit paano natanggap ng mga attacker.
Pagkatapos makakuha ng mga susi, nilikha nila ang mga pekeng mensahe ng tulay na kilala bilang VAAs at ginawa nilang mukhang totoo.
Ang ‘minting’ twist
Bukod sa pagmimint ng ALPH, ang mga forged VAAs ay nagbigay ng mga utos sa tulay upang palabasin ang mga ari-arian na nakaaresto na.
Bilang resulta ng pagpapaniwala ng mga attacker sa bridge na mayroong mga valid na pagtarik, Tether [USDT], USD Coin [USDC], Wrapped Bitcoin (WBTC), at Wrapped Ether (WETH) ay nalibre.
Walang tunay na pag-deposit ng ALPH, ang mga mang-aabuso ay gumawa ng 13.76 milyong wrapped ALPH. Ayon sa Blockaid, higit pa ito sa 100% ng dating available na wrapped supply.
Sa ibang salita, ang attacker ay naglikha ng malaking dami ng ALPH-backed assets mula sa wala.
Mga katulad na pag-atake sa nakaraan
Ang ganitong sitwasyon ay katulad ng Wormhole Bridge Exploit, kung saan ang mga attacker ay gumawa ng mga asset na hindi sinuportahan ng collateral at nag-forged ng mga mensahe sa bridge.
Karagdagang ito ay sumunod sa isang kamakailang pag-atake sa Verus-Ethereum bridge, na nagbawas ng halos $11.58 milyon.
Huling Buod
- Sa pag-atake na ito, ang tatlo sa apat na nakompromiso na guardian keys ang naging sanhi ng pagbawas ng $815,000 sa loob ng pitong minuto lamang.
- Ang mga attacker ay nag-mint ng 13.76 milyong wrapped ALPH nang hindi nag-deposito ng anumang ALPH.