TokenBridge kết nối Ethereum và Alephium đã bị tấn công vào ngày 30 tháng 5. Công ty an ninh blockchain Blockaid cho biết, kẻ tấn công đã kiểm soát 3 trong số 4 chìa khóa giám hộ và sử dụng chúng để tạo giả tin xác nhận liên chuỗi, chuyển đi khoảng 815.000 USD tài sản trong vòng khoảng 7 phút.
Điểm tấn công nằm ở chữ ký của người bảo vệ
Alephium TokenBridge dùng để kết nối chuỗi Ethereum và Alephium. Khi người dùng chuyển ALPH từ Alephium sang Ethereum, tài sản bản địa sẽ được khóa ở một phía trước, sau đó tài sản được đóng gói tương ứng wALPH sẽ được đúc ở phía Ethereum.
Quy trình này phụ thuộc vào chữ ký của những người bảo vệ để xác nhận tính hợp lệ của thông điệp liên chuỗi. Theo thiết kế của cầu, ít nhất 3 trong số 4 người bảo vệ phải ký tên thì thông điệp chuyển tiền mới được phê duyệt. Blockaid cho biết, kẻ tấn công đã chiếm được khóa riêng của 3 trong số những người bảo vệ, do đó có thể tạo ra các VAA giả mạo trông giống như thông điệp phê duyệt liên chuỗi hợp lệ.
Releasing multiple assets after forging messages
Sau khi có khả năng ký tên, kẻ tấn công không chỉ giả mạo quy trình đúc wALPH, mà còn khiến cầu thực hiện sai việc giải phóng tài sản. Cầu đã nhận diện các tin giả mạo này là các yêu cầu rút tiền hợp lệ, do đó đã giải phóng nhiều tài sản đang được lưu ký trong cầu.
- USDT
- USDC
- WBTC
- WETH
Blockaid cũng cho biết, kẻ tấn công đã đúc thêm 13,76 triệu wALPH mà không thực sự gửi vào ALPH. Số lượng này đã vượt quá tổng nguồn cung được đóng gói đang lưu hành trước đó, nghĩa là những tài sản này không có tài sản thế chấp thực sự hỗ trợ.
Tương tự các cuộc tấn công cầu liên chuỗi trước đây
Sự kiện này có điểm tương đồng với cuộc tấn công vào cầu chuyển chuỗi Wormhole trước đó. Cả hai đều liên quan đến việc giả mạo tin nhắn chuyển chuỗi và tạo ra tài sản không có sự hỗ trợ thế chấp đầy đủ.
Báo cáo cũng đề cập rằng cầu liên chuỗi giữa Verus và Ethereum gần đây cũng đã bị tấn công, gây thiệt hại khoảng 11,58 triệu USD. Những sự kiện cầu liên chuỗi liên tiếp xảy ra một lần nữa phơi bày rằng xác thực đa chữ ký và quản lý khóa vẫn là những điểm rủi ro chính của các giao thức cầu.