O TokenBridge conectando Ethereum e Alephium foi atacado em 30 de maio. A empresa de segurança blockchain Blockaid afirmou que o atacante controlou 3 das 4 chaves de guardiões e, com isso, falsificou mensagens de aprovação intercadeia, transferindo aproximadamente US$ 815.000 em ativos em cerca de 7 minutos.
O ponto de ataque está na assinatura do guardião
O Alephium TokenBridge conecta a cadeia Ethereum e a cadeia Alephium. Quando os usuários transferem ALPH da Alephium para a Ethereum, o ativo nativo é primeiro bloqueado em um lado, seguido pela cunhagem do ativo encapsulado correspondente wALPH no lado Ethereum.
Este processo depende da confirmação por assinatura dos guardiões para verificar a validade das mensagens entre cadeias. Conforme projetado na ponte, pelo menos 3 das 4 assinaturas dos guardiões são necessárias para aprovar a mensagem de transferência. O Blockaid afirmou que o atacante obteve as chaves privadas de 3 dos guardiões, permitindo-lhe falsificar VAA aparentemente válidas, ou seja, mensagens de aprovação intercadeia.
Releasing multiple assets after forging a message
Após obter a capacidade de assinatura, o atacante não apenas falsificou o processo de cunhagem do wALPH, mas também fez com que a ponte executasse incorretamente a liberação de ativos. A ponte reconheceu essas mensagens falsificadas como saques válidos, desbloqueando diversos ativos que estavam originalmente guardados na ponte.
- USDT
- USDC
- WBTC
- WETH
Blockaid também indicou que os atacantes cunharam adicionalmente 13,76 milhões de wALPH sem efetivamente depositar ALPH. Essa quantidade excede o total da oferta encapsulada anteriormente em circulação, o que significa que esses ativos não são respaldados por garantias reais.
Semelhante a ataques anteriores a pontes intercadeia
Este evento é semelhante ao anterior ataque à ponte跨链 Wormhole. Ambos envolveram mensagens跨链 falsificadas e a geração de ativos sem suporte de colateral adequado.
A report também mencionou que a ponte intercadeia entre Verus e Ethereum foi recentemente atacada, resultando em perdas de aproximadamente US$ 11,58 milhões. Os incidentes consecutivos envolvendo pontes intercadeia reforçam que a verificação multisig e a gestão de chaves permanecem como principais pontos de risco em protocolos de ponte.