TokenBridge yang menghubungkan Ethereum dan Alephium diserang pada 30 Mei. Perusahaan keamanan blockchain Blockaid menyatakan bahwa penyerang mengendalikan 3 dari 4 kunci penjaga, dan menggunakan hal tersebut untuk memalsukan pesan persetujuan lintas rantai, menarik aset senilai sekitar $815.000 dalam waktu sekitar 7 menit.
Titik serangan berada pada tanda tangan penjaga
Alephium TokenBridge digunakan untuk menghubungkan Ethereum dan rantai Alephium. Ketika pengguna mentransfer ALPH dari Alephium ke Ethereum, aset asli akan terlebih dahulu dikunci di satu sisi, kemudian aset terwadahi yang sesuai, wALPH, dicetak di sisi Ethereum.
Proses ini bergantung pada tanda tangan penjaga untuk mengonfirmasi keabsahan pesan lintas rantai. Sesuai desain jembatan, pesan transfer akan disetujui hanya jika setidaknya 3 dari 4 penjaga memberikan tanda tangan. Blockaid menyatakan bahwa penyerang mendapatkan kunci pribadi dari 3 penjaga tersebut, sehingga mampu memalsukan VAA yang tampak sah, yaitu pesan persetujuan lintas rantai.
Mengeluarkan berbagai aset setelah memalsukan pesan
Setelah mendapatkan kemampuan tanda tangan, penyerang tidak hanya memalsukan proses pencetakan wALPH, tetapi juga menyebabkan jembatan secara salah mengeksekusi pelepasan aset. Jembatan mengenali pesan-pesan palsu ini sebagai penarikan yang valid, sehingga melepaskan berbagai aset yang sebelumnya dijaminkan di dalam jembatan.
- USDT
- USDC
- WBTC
- WETH
Blockaid juga menyatakan bahwa penyerang mencetak tambahan 13,76 juta wALPH tanpa melakukan setoran ALPH yang sebenarnya. Jumlah ini melebihi total pasokan tersegel yang beredar sebelumnya, yang berarti aset-aset ini tidak didukung oleh jaminan nyata.
Serupa dengan serangan jembatan lintas rantai sebelumnya
Peristiwa ini memiliki kesamaan dengan serangan terhadap jembatan lintas rantai Wormhole sebelumnya. Keduanya melibatkan pemalsuan pesan lintas rantai dan menghasilkan aset yang tidak didukung oleh jaminan yang cukup.
Laporan tersebut juga menyebutkan bahwa jembatan lintas rantai antara Verus dan Ethereum baru-baru ini juga menjadi sasaran serangan, dengan kerugian sekitar $11,58 juta. Serangkaian insiden jembatan lintas rantai ini kembali menunjukkan bahwa verifikasi multi-signature dan manajemen kunci tetap menjadi titik risiko utama pada protokol jembatan.