A Ponte Solana perdeu US$ 4,5 milhões para um ataque. Cada usuário manteve 100% dos seus fundos.

Era uma ponte usada para milhões de dólares, e em nenhum momento um único dólar foi perdido por qualquer um dos usuários. O par parece uma combinação improvável, mas ocorreu no lado Solana do Across Protocol em 17 de julho.

Aqui está o que realmente aconteceu. Um hacker criou 1627 carteiras falsas no Solana e enviou depósitos falsos que nunca foram registrados na cadeia.

Os depósitos falsos totalizaram cerca de US$ 41,7 milhões e foram emitidos para pagar 18 cadeias de destino diferentes.

Antes da equipe perceber e desativar as operações do Solana, o relayer do Across (a fundação Risk Labs) preencheu 581 dessas solicitações falsas.

O lucro bruto do relayer foi de aproximadamente US$ 4,5 milhões. Cerca de US$ 500 mil do dinheiro do atacante ficaram presos no golpe, reduzindo a perda final para menos de US$ 4 milhões.

O aspecto significativo para aqueles que realmente usam a ponte: não foi dinheiro deles.

Para que os relayers antecipem seu próprio capital para um assentamento instantâneo em um modelo baseado em intenção, onde serão reembolsados na cadeia posteriormente, isso será feito em execuções contínuas. Se algo falhar no lado do relayer, o relayer arca com a perda. Não a pessoa que causou a transferência.

Todas as transferências legítimas realizadas posteriormente também foram processadas e/ou reembolsadas. Em poucas horas, os depósitos no Solana foram suspensos, e os depósitos foram reabertos em cerca de 45 minutos por meio de roteamento alternativo via Protocolo de Transferência Cruzada da Circle.

É um conceito a manter em mente na próxima vez que um título de ponte for "catastrófico". O valor em dólares não é tão significativo quanto a arquitetura.

Um ataque que afeta apenas o tesouro do protocolo é um risco diferente de um ataque que afeta um pool comum de depósitos de usuários, embora ambos possam ser relatados da mesma forma nas redes sociais.

Uma análise técnica detalhada do problema que levou à falha ainda não foi concluída e a recuperação dos fundos bloqueados continua.

Se você acredita que o dinheiro do usuário não está em risco se o arquiteto da ponte estiver em risco, isso o faz sentir-se mais seguro? Ou o faz sentir-se menos seguro se o usuário acabar perdendo dinheiro, independentemente de quem perder o quê?

Este não é um conselho financeiro.