Cinco meses em 2026, e os ataques continuam. A Blockaid, uma empresa de segurança blockchain, descobriu uma nova exploração direcionada ao Alephium TokenBridge da ethereum em 30 de maio.
Segundo a investigação, três das quatro chaves de guarda comprometidas que assinaram VAAs falsificadas (Verified Action Approvals) foram usadas para esvaziar US$ 815.000 em sete minutos.
Como as chaves guardiãs foram comprometidas?
Para contexto, o Alephium TokenBridge é uma ponte que conecta o ethereum e a blockchain Alephium.
Quando os usuários mudam de Alephium para Ethereum [ETH], o ALPH real é bloqueado em uma única cadeia. Adiante, o Ethereum é usado para cunhar uma versão embrulhada (wALPH).
Antes de permitir que a cunhagem prossiga, três guardiões da ponte confirmam que o bloqueio foi realmente feito. Além disso, para verificar transferências entre cadeias, o sistema utiliza assinaturas dos guardiões.
Para que uma mensagem de transferência seja aprovada pela ponte, três dos quatro guardiões devem assiná-la. No entanto, no ataque ao Alephium TokenBridge, as três chaves privadas dos guardiões foram de alguma forma obtidas pelos atacantes.
Após obter essas chaves, eles fabricaram mensagens falsas de ponte conhecidas como VAAs e as fizeram parecer autênticas.
O giro de “cunhagem”
Além de cunhar ALPH, as VAAs forjadas deram ao bridge instruções para liberar ativos que já estavam apreendidos.
Como resultado da convicção dos atacantes de que havia saques válidos, Tether [USDT], USD Coin [USDC], Wrapped Bitcoin (WBTC) e Wrapped Ether (WETH) foram desbloqueados.
Sem realizar um depósito real de ALPH, os atacantes criaram 13,76 milhões de ALPH embrulhado. Segundo o Blockaid, isso representava mais de 100% da oferta embrulhada anteriormente disponível.
Em outras palavras, o atacante produziu essencialmente uma grande quantidade de ativos respaldados por ALPH do nada.
Ataques semelhantes no passado
Isso lembra o Wormhole Bridge Exploit, no qual atacantes criaram ativos que nunca foram respaldados por colateral e falsificaram mensagens da ponte.
Além disso, isso seguiu um ataque recente à Verus-Ethereum bridge, que esgotou aproximadamente US$ 11,58 milhões.
Resumo Final
- Neste ataque, três das quatro chaves de guarda comprometidas resultaram na retirada de US$ 815.000 em apenas sete minutos.
- Os atacantes cunharam 13,76 milhões de ALPH embrulhado sem realmente depositar qualquer ALPH.