Hyperbridge раскрыла убыток в размере 237 000 долларов из-за уязвимости проверки Merkle-доказательства

ChainCatcher сообщает, что протокол межсетевой совместимости блокчейнов Hyperbridge раскрыл подробности инцидента с атакой на DOT, в результате которого были утеряны примерно 237 000 долларов США. Уязвимость возникла из-за отсутствия проверки входных данных в функции VerifyProof() контракта HandlerV1: не проверялись значения leaf_index и leafCount, что позволило злоумышленнику подделать Merkle-доказательство. Злоумышленник воспользовался этой уязвимостью, чтобы получить права администратора на контракте моста для токенов DOT на Ethereum, после чего выпустил 1 миллиард дополнительных мостовых токенов DOT (в более чем 2800 раз превышая легальный объем в обращении — около 356 000 токенов) и продал их на децентрализованных биржах. Hyperbridge заявила, что в настоящее время сотрудничает с партнерами по безопасности для отслеживания средств, а функциональность моста останется приостановленной до завершения расследования.