Міст Verus Ethereum знову був атакований 23 липня, коли нападники вивели приблизно 7,54 мільйона доларів США з того ж контракту моста, який був використаний у травні. Що відбулося - Компанія з безпеки блокчейну Blockaid зафіксувала атаку на Ethereum о 03:45 UTC 23 липня. Дані в ланцюжку показують, що транзакція взаємодіяла з контрактом моста Verus (0x71518580f36feceffe0721f06ba4703218cd7f63) і переслала близько 1 137 ETH та кілька токенів на адресу, підконтрольну нападнику (0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54). Etherscan оцінив виведені кошти на той момент у близько 7,54 мільйона доларів США. - Серед пересланих токенів — tBTC, USDC, USDT, EURC, MKR і scrvUSD. - Blockaid стверджує, що нападник використав шлях імпорту моста, щоб спровокувати виплати на стороні Ethereum, які не підтримувалися відповідними активами на вихідному ланцюзі — той самий шлях входу та очевидний клас помилок, виявлених у травневому інциденті. Нова експлуатація використовувала іншу транзакцію та іншу гаманець нападника, ніж у травні. Повний технічний звіт про корінну причину ще не опубліковано. Контекст і наслідки - Це другий великий вивід коштів з того самого моста Verus за приблизно два місяці. У травні міст втратив близько 11,58 мільйона доларів США, коли дослідники зазначили, що прогалина у перевірці дозволила підроблений крос-чейн імпорт пройти перевірку, вивільнивши більше коштів на Ethereum, ніж було зарезервовано на вихідному ланцюзі. - Після травневого інциденту початковий нападник повернув 4 052,4 ETH (близько 8,5 млн доларів США на той момент) за умовами угоди і зберіг близько 1 350 ETH як винагороду — приблизно 75% його залишків після конвертації. - Жовтнева атака на Verus відбулася на тлі кластера атак того ж дня. Трекер Onchain Lookonchain повідомив про загальні втрати близько 35,55 мільйона доларів США по трьох інцидентах: AFX Trade ($24,15 млн), Verus ($7,55 млн) і B² Network ($3,86 млн). Втрата AFX стосувалася USDC на інфраструктурі моста, що керується третьою стороною, і пізніше була конвертована у 12 467 ETH, причому Offchain Labs зазначила, що це не вплинуло на нативний міст Arbitrum. Чому це важливо - Крос-чейн мости залишаються високоризикованими, оскільки повинні перевіряти події між різними блокчейнами, водночас забезпечуючи безпеку згрупованих активів. Невдачі у перевірці повідомлень, логиці контракту чи контролю доступу можуть дозволити непідтримувані виплати, подібні до тих, що спостерігалися тут. - Blockaid описав жовтневу атаку як «на зразок попередньої атаки на міст Verus Ethereum у травні», зазначивши той самий контракт, шлях входу та клас помилок, але не підтвердила, що була повторно використана саме та сама вразливість. Поточний статус - На момент публікації джерела підтверджують, що кошти покинули міст Verus для нового гаманця нападника, але невідомо, чи будь-які вкрадені активи були заморожені, повернуті або виявлені. Жодного графіку виправлення чи оновленого плану роботи моста не опубліковано. - Потрібна додаткова технічна аналітика для визначення того, чи була невиправлена помилка з травня, чи була використана пов’язана слабкість, чи нападник використав інший шлях через процес імпорту. Подальші дії нападника (конвертації, змішувачі або зняття) будуть спостерегатися на предмет ознак вимивання коштів або можливостей для повернення. Ключове посилання - Цільовий контракт моста: https://etherscan.io/address/0x71518580f36feceffe0721f06ba4703218cd7f63 - Адреса нападника: https://etherscan.io/address/0xCFd0A20703cD11E0b9f665e1C3F1Ef989C142D54 Ця історія розвивається; ми оновимо її з технічними звітами або новинами про повернення коштів, як тільки вони стануть доступними.
Міст Verus Ethereum знову атаковано, вкрадено $7,5 млн, ймовірно, повторення атаки у травні
ChainGPTПоділитися
Короткий зміст
Новини про ethereum розійшлися 23 липня, коли міст Verus Ethereum знову став жертвою атаки: нападники вкрали близько 7,54 млн доларів США. Експлойт використав той самий контракт і метод, що й атака у травні, перемістивши 1 137 ETH і токени на контролювану адресу. Це відбулося після втрат у розмірі 11,58 млн доларів США у травні і на тлі того, що ціна ethereum сьогодні залишається під тиском. Blockaid підтвердив, що було використано той самий клас помилок, але технічний звіт ще не опубліковано. Атака відбулася разом із двома іншими того ж дня, загальні втрати склали 35,55 млн доларів США. Жодних виправлень чи термінів для мосту ще не оголошено.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.