5 Mayıs'ta Ethereum ile Alephium arasındaki TokenBridge saldırıya uğradı. Blok zinciri güvenliği şirketi Blockaid, saldırganın 4 koruyucu anahtarından 3'ünü kontrol altına alarak çapraz zincir onay mesajları yaratmış ve yaklaşık 7 dakika içinde 815.000 dolarlık varlık aktarmış olduğunu açıkladı.
Saldırı noktası muhafız imzasındadır
Alephium TokenBridge, Ethereum ve Alephium zincirlerini bağlamak için kullanılır. Kullanıcılar, ALPH'yi Alephium'dan Ethereum'a aktardığında, orijinal varlık önce bir tarafta kilitlenir, ardından Ethereum tarafında karşılık gelen sarmalı varlık wALPH çıkarılır.
Bu işlem, çapraz zincir mesajlarının geçerliliğini doğrulamak için bekçilerin imzasına dayanır. Köprü tasarımına göre, 3 bekçinin imzası ile birlikte en az 4 bekçiden 3'ü imza attığında transfer mesajı onaylanır. Blockaid, saldırganın bu bekçilerden 3'ünün özel anahtarlarını ele geçirdiğini ve bu nedenle görünürde geçerli bir VAA, yani çapraz zincir onay mesajı oluşturabildiğini belirtti.
Sahte mesaj gönderildikten sonra çeşitli varlıklar serbest bırakılıyor
İmza yetkisini elde ettikten sonra, saldırganlar wALPH'in üretim sürecini sahteleştirdi ve köprüye varlık serbest bırakma işlemini yanlışça gerçekleştirmesini sağladı. Köprü, bu sahte mesajları geçerli çekimler olarak tanımladı ve bu nedenle köprü içinde saklanan çeşitli varlıkları serbest bıraktı.
- USDT
- USDC
- WBTC
- WETH
Blockaid, saldırganların gerçek ALPH yatırmadan 13,76 milyon ek wALPH ürettiğini de belirtti. Bu miktar, daha önce dolaşımdaki kaplı arzın toplamını aşıyor ve bu varlıkların gerçek bir teminatla desteklenmediğini gösteriyor.
Geçmişteki çapraz zincir köprü saldırıları ile benzer
Bu olay, daha önceki Wormhole çapraz zincir köprü saldırılarıyla benzerlik göstermektedir. İkisi de sahte çapraz zincir mesajları içerir ve yeterli teminat desteği olmayan varlıklar oluşturur.
Ayrıca, Verus ile Ethereum arasında son zamanlarda bir çapraz zincir köprüsü saldırıya uğradı ve yaklaşık 11,58 milyon dolarlık kayıp yaşandı. Sürekli olarak gerçekleşen çapraz zincir köprüleri olayları, çok imzalı doğrulama ve anahtar yönetiminin hala köprü protokollerinin ana risk noktaları olduğunu tekrar ortaya koydu.