TokenBridge, що з’єднує Ethereum та Alephium, був атакований 30 травня. Компанія з безпеки блокчейну Blockaid повідомила, що атакувачі отримали контроль над 3 із 4 ключів-стражів і, використовуючи це, підробили повідомлення про міжланцюгове схвалення, вивівши приблизно 815 000 доларів США за 7 хвилин.
Точка атаки — підпис охоронця
Alephium TokenBridge використовується для підключення Ethereum та ланцюга Alephium. Коли користувачі переносять ALPH з Alephium на Ethereum, вихідний актив спочатку блокується на одній стороні, а потім на стороні Ethereum відбувається випуск відповідного обгорнутого активу wALPH.
Цей процес залежить від підписів сторожів для підтвердження дійсності міжланцюгових повідомлень. Згідно з дизайном моста, повідомлення про переказ схвалюється лише тоді, коли принаймні 3 з 4 сторожів підписали його. Blockaid зазначає, що нападник отримав доступ до приватних ключів трьох сторожів, що дозволило йому створити фальшиві, але зовні дійсні VAA — міжланцюгові схвалювальні повідомлення.
Після підготовки фальшивих повідомлень вивільнено кілька активів
Після отримання можливості підпису атакуючий не лише підробив процес чеканки wALPH, але й змусив міст неправильно виконати вивід активів. Міст сприйняв ці підроблені повідомлення як дійсні запити на вивід, тому розблокував різні активи, які зберігалися на мості.
- USDT
- USDC
- WBTC
- WETH
Blockaid також зазначив, що атакуючі додатково відлили 13,76 мільйона wALPH без фактичного внесення ALPH. Ця кількість перевищує попередній загальний обсяг обігового закритого пропонування, що означає, що ці активи не мають реального забезпечення.
Подібно до попередніх атак на мостові зв’язки
Ця подія має спільні риси з ранішньою атакою на мост Wormhole. Обидві включають підробку міжланцюгових повідомлень та створення активів без достатнього забезпечення.
У доповіді також зазначалося, що недавно міст між Verus та Ethereum також був атакований, з понесеними втратами приблизно 11,58 мільйона доларів США. Послідовні події з мостами знову виявили, що багатопідписова перевірка та управління ключами залишаються основними ризиками для протоколів мостів.