TokenBridge, соединяющий Ethereum и Alephium, был атакован 30 мая. Компания по безопасности блокчейна Blockaid сообщила, что злоумышленник получил контроль над тремя из четырех ключей-хранителей и с помощью этого сконструировал фальшивые межцепочные разрешения, переведя около 815 000 долларов США за примерно 7 минут.
Точка атаки — в подписи стражей
Alephium TokenBridge используется для подключения Ethereum и цепочки Alephium. Когда пользователь переводит ALPH с Alephium на Ethereum, исходный актив сначала блокируется на одной стороне, а затем на стороне Ethereum создается соответствующий обернутый актив wALPH.
Этот процесс зависит от подписей стражей для подтверждения действительности межсетевых сообщений. Согласно дизайну моста, сообщение о переводе одобряется только при наличии подписей как минимум трех из четырех стражей. Blockaid заявила, что злоумышленник получил частные ключи трех из этих стражей, что позволило ему подделать кажущиеся действительными VAA — межсетевые одобрительные сообщения.
Release multiple assets after forging messages
Получив возможность подписи, атакующий не только подделал процесс чеканки wALPH, но и заставил мост неправильно выполнить высвобождение активов. Мост распознал эти поддельные сообщения как действительные запросы на вывод, поэтому разблокировал различные активы, ранее хранящиеся в мосту.
- USDT
- USDC
- WBTC
- WETH
Blockaid также указал, что злоумышленники дополнительно создали 13,76 миллиона wALPH без фактического внесения ALPH. Это количество превышает ранее существовавший объем оборотного заключенного предложения, что означает, что эти активы не имеют реального обеспечения.
Похоже на прошлые атаки на мосты между блокчейнами
Это событие имеет сходство с предыдущей атакой на мост Wormhole. В обоих случаях использовались поддельные межсетевые сообщения для создания активов без достаточного покрытия.
В отчете также упоминается, что недавно был атакован мост между Verus и Ethereum, в результате чего были потеряны примерно 11,58 миллиона долларов США. Последовательные инциденты с мостами вновь выявили, что мультиподпись и управление ключами остаются основными точками риска для протоколов мостов.