ห้าเดือนเข้าสู่ปี 2026 และการโจมตียังคงดำเนินต่อไป Blockaid บริษัทด้านความปลอดภัยของบล็อกเชน ค้นพบช่องโหว่ใหม่ที่มุ่งเป้าไปที่ Alephium TokenBridge ของ Ethereum เมื่อวันที่ 30 พฤษภาคม
ตามการสอบสวน คีย์ผู้ดูแลสามในสี่ที่ใช้ลงนามใน VAAs ปลอม (Verified Action Approvals) ถูกใช้เพื่อดึงเงิน 815,000 ดอลลาร์สหรัฐในเวลาเจ็ดนาที
กุญแจผู้พิทักษ์ถูกโจมตีได้อย่างไร?
สำหรับบริบท Alephium TokenBridge เป็นสะพานที่เชื่อมต่อ Ethereum กับบล็อกเชน Alephium
เมื่อผู้ใช้เปลี่ยนจาก Alephium เป็น Ethereum [ETH] จำนวน ALPH จริงจะถูกล็อกไว้บนโซ่เดียว ในอนาคต Ethereum จะถูกใช้ในการสร้างเวอร์ชันที่ห่อหุ้มไว้ (wALPH)
ก่อนอนุญาตให้การสร้างเหรียญดำเนินการ ผู้พิทักษ์สามคนของสะพานจะยืนยันว่าการล็อกได้ถูกดำเนินการจริง นอกจากนี้ เพื่อยืนยันการโอนข้ามโซ่ ระบบจะใช้ลายเซ็นของผู้พิทักษ์
สำหรับข้อความการโอนเพื่อให้สะพานอนุมัติ ต้องมีผู้ดูแลสามคนจากสี่คนลงนาม อย่างไรก็ตาม ในการโจมตี Alephium TokenBridge กุญแจส่วนตัวของผู้ดูแลสามคนถูกผู้โจมตี ได้มาอย่างไรก็ตาม.
หลังจากได้รับกุญแจเหล่านั้น พวกเขาสร้างข้อความสะพานปลอมที่เรียกว่า VAAs และทำให้ดูเหมือนเป็นของแท้
การเปลี่ยนแปลงของการสร้างเหรียญ
นอกจากการสร้าง ALPH แล้ว VAAs ที่ปลอมแปลงยังให้คำสั่งแก่สะพานเพื่อปลดปล่อยสินทรัพย์ที่ถูกยึดไว้แล้ว
เนื่องจากผู้โจมตีสามารถโน้มน้าวให้สะพานเชื่อว่ามีการถอนเงินที่ถูกต้อง จึงมีการปลดล็อก Tether [USDT], USD Coin [USDC], Wrapped Bitcoin (WBTC) และ Wrapped Ether (WETH)
โดยไม่ได้ฝาก ALPH จริง ผู้โจมตีได้สร้าง ALPH ที่ถูกห่อจำนวน 13.76 ล้านหน่วย ตามข้อมูลจาก Blockaid จำนวนนี้มากกว่า 100% ของอุปทานที่ห่อไว้ก่อนหน้านี้
กล่าวอีกนัยหนึ่ง ผู้โจมตีได้สร้างสินทรัพย์ที่รองรับด้วย ALPH จำนวนมหาศาลขึ้นมาอย่างไม่มีตัวตน
การโจมตีที่คล้ายกันในอดีต
สิ่งนี้คล้ายกับ การโจมตี Wormhole Bridge ซึ่งผู้โจมตีสร้างสินทรัพย์ที่ไม่มีหลักประกันรองรับและปลอมแปลงข้อความสะพาน
นอกจากนี้ สิ่งนี้เกิดขึ้นหลังจากการโจมตีล่าสุดบน Verus-Ethereum bridge ซึ่งทำให้เงินสูญหายประมาณ 11.58 ล้านดอลลาร์สหรัฐ
สรุปสุดท้าย
- ในการโจมตีครั้งนี้ กุญแจผู้พิทักษ์ที่ถูกโจมตีสามในสี่กุญแจ ส่งผลให้มีการถ่ายโอนเงินจำนวน 815,000 ดอลลาร์สหรัฐภายในเวลาเพียงเจ็ดนาที
- ผู้โจมตีได้สร้าง ALPH ที่ถูกห่อจำนวน 13.76 ล้านหน่วย โดยไม่ได้ฝาก ALPH จริงใดๆ