Leestijd: 5 minuten

Onderzoek naar de hacks die leiden tot verliezen van miljoenen dollars.

Cross-chain bruggen hebben geen introductie nodig. Ze worden al een tijdje gebruikt en zijn een geweldige manier om geld van de ene keten naar de andere te verplaatsen. Bruggen helpen onze ervaring in Web3 te verbeteren, terwijl QuillAudits de beveiliging van protocollen helpt verbeteren. Aangezien bruggen met veel geld te maken hebben, is het niet meer dan redelijk om hun veiligheid te waarborgen, en veiligheid heeft vaak de hoogste prioriteit in dergelijke protocollen. Toch zat 2022 vol met cross-chain hacks. 

• Januari: Qubit - $ 80 miljoen
• Februari: Wormgat - $ 375 miljoen
• Maart: Ronin-brug - $ 624 miljoen
• Juni: Harmony - $ 97 miljoen
• Augustus: Nomad Bridge - $ 190 miljoen

Wat is er gebeurd?

Laten we het afzonderlijk hebben over elke hierboven genoemde cross-chain hack om erachter te komen wat er mis ging en om onszelf te leren betere beslissingen te nemen.

qubit

Op 27 januari 2022 heeft Qubit, een voorbeeld van een

” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]”>cross-chain bridge, is gehackt. De reeks transacties was als volgt: na het verkrijgen van 77,162 qxETH via een exploit, gebruikte de aanvaller het om 15,688 wETH te lenen en het vervolgens om te zetten in 767 BTC-B. Vervolgens gebruikte hij dit geld om stablecoins te bemachtigen en enkele protocollen in te voeren. Dit geheel resulteerde in $ 80 miljoen aan totale verloren waarde.

Verrassend genoeg was deze exploit het gevolg van een logische fout in Qubit Financiën code. Door deze fout konden de aanvallers kwaadaardige invoer naar de contractfuncties sturen, wat resulteerde in het intrekken van tokens op BSC terwijl er geen storting op Ethereum werd gedaan.

Qubit-contractcode

De kern van deze misbruikte kwetsbaarheid was de functie tokenAddress.safeTransferFrom() in de code van Qubit Finance. De aanvaller realiseerde zich dat deze functie niet wordt teruggezet wanneer tokenAddress null is.

wormhole

Het wormgat, een van de populaire bruggen die cross-chain-transacties mogelijk maken die de Solana- en ethereum-blockchains met elkaar verbinden, verloor ongeveer $ 320 miljoen en stond op de tweede plaats na de Ronin-brug (hierover later meer) in 2022.

Op 2 februari 2022 probeerde de aanvaller het verificatieproces van de Wormhole-brug op Solana te omzeilen. De aanvaller omzeilde de verificatiestap en injecteerde met succes een nep-sysvar-account en verdiende notoir 120,000 wETH. Een tweet op 3 februari kondigde de $ 320 miljoen aan uitbuiting van hun protocol aan. Om de situatie een halt toe te roepen, verklaarde het moederbedrijf van Wormhole de levering van ether ter vervanging van wat was gestolen nadat het geen reactie had gekregen voor een toekenning van $ 10 miljoen in ruil voor het gestolen geld aan de aanvaller.

Het zou je verbazen te weten dat dit allemaal mogelijk was vanwege slechts 1 verouderde functie. JA!!, de root van deze exploit was een verouderde functie "load_current_index" onder "verify_signatures", die zich bezighoudt met het verificatieproces. Het probleem met de verouderde functie "load_current_index" was dat deze niet verifieerde dat de ingevoerde "sysvar-account" echt "systeem sysvar" was, wat ruimte creëerde voor de aanvaller om misbruik te maken.

Bron: - Link

Ronin-brug

Een onopvallende hack die de volgende 6 dagen niet eens werd opgemerkt totdat een gebruiker het team op de hoogte bracht van het onvermogen om ongeveer 5k ETH van de brug op te nemen, wat leidde tot het blootleggen van het gestolen geld.

Deze hack is naar verluidt een aanval van een Noord-Koreaanse Lazarus-groep en resulteerde in een verlies van ongeveer $ 600 miljoen. Dit was een hack gebaseerd op het compromitteren van de privésleutels van de validatieknooppunten met de spear phishing-aanvallen als belangrijkste oorzaak van de exploit.

Het ronin-netwerk gebruikt een set van negen validatieknooppunten om een ​​transactie op de bridge goed te keuren, en een storting of opname heeft de goedkeuring nodig van de meerderheid, dat wil zeggen vijf van deze knooppunten. In november 2021 stond Axie DAO Sky Mavis tijdelijk toe om namens haar transacties te ondertekenen, maar raad eens? De toeslag is nooit ingetrokken.

Dit betekent dat Sky Mavis nog steeds handtekeningen kan genereren. De aanvaller profiteerde hiervan en compromitteerde eerst de Sky Mavis-systemen en misbruikte deze handtekeningen om een ​​handtekening te genereren van de externe validator die wordt beheerd door Axie DAO. Kortom, met toegang tot Sky Mavis-systemen kan de aanvaller geldige handtekeningen genereren voor vijf ronin-netwerkvalidators en vervolgens met succes geld aftappen.

Harmonie

Op 23 juni 2022 werd de Harmony-brug gecompromitteerd en werden verschillende tokens op de brug gesaldeerd, waaronder ETH, WETH, WBTC, USDT, USDC, enz. Met een record van ongeveer $ 97 miljoen aan verlies werd de Harmony-brug het slachtoffer van een kruis -kettinghack vergelijkbaar met Ronin.

Om een ​​transactie uit te voeren, heeft de gebruiker minimaal 2 van de 5 MultiSig nodig, wat betekent dat er 2 van de in totaal 5 sleutels nodig zijn om een ​​transactie te valideren. Maar de aanvallers hebben 2 sleutels gecompromitteerd om het geld af te tappen. Dit was allemaal mogelijk omdat de aanvallers een voldoende aantal van deze sleutels konden openen en ontsleutelen.

Nomadenbrug

Het was 1 augustus 2022 toen de Nomad Bridged te maken kreeg met een exploit die resulteerde in een verlies van $ 190 miljoen. Het was een

” data-gt-translate-attributes=”[{"attribute":"data-cmtooltip", "format":"html"}]”>cross-chain bridge tussen Ethereum, Moonbeam, Avalanche, Evmos en Mikomeda.

De bridge stond op de derde positie met een verlies van $ 190 miljoen en werd gecompromitteerd vanwege een kwetsbaarheid in het initialisatieproces, waardoor de aanvallers het verificatieproces konden omzeilen en geld uit het bridge-contract konden halen.

De aanvaller kon de functie "process()" rechtstreeks aanroepen, die een parameter "_message" nam. De aanvaller kon met een willekeurige "_message" de verificatie omzeilen. Later moest het contract ervoor zorgen dat de hash van het bericht werd bewezen met behulp van de allowRoot()-functie. Dan komt het allemaal neer op de functie "prove()", die een vereiste verklaring heeft waaraan moet worden voldaan. De aanvaller zou de aanval met succes kunnen uitvoeren alleen omdat de nul als geldige bevestigde root de vereiste controle zou kunnen omzeilen.

Conclusie

Volgens de statistieken van 2022 is het duidelijk dat bruggen een doelwit zijn geweest met miljoenen verliezen tot gevolg. De 5 exploits op de cross-chain-protocollen waren goed voor ongeveer 56% van het totale Web3. Ondanks dat het een van de handigste tools is, ontbreekt de beveiliging van de bruggen en worden ze het slachtoffer van de aanvallen. 

We zullen waarschijnlijk binnenkort meer van dergelijke aanvallen op de bruggen zien. In deze omstandigheden is het van het grootste belang dat de bruggen zichzelf en hun gebruikers beveiligen. In de komende blog komen we terug met een auditrichtlijn om u te helpen enkele van de cruciale controles te begrijpen die we nodig hebben om de veiligheid van het protocol te waarborgen.

Onthoud ondertussen dat er geen alternatief is voor een audit. Met een audit ben je zeker van de veiligheid. Niet alleen dat, de gebruikers zullen aarzelen om het protocol te vertrouwen. Geauditeerd worden is in het voordeel van iedereen, dus laat uw project auditen en help mee Web3 een veiligere plek. En wie kan er beter auditeren dan QuillAudits? Bezoek vandaag nog onze website en bekijk meer van dergelijke blogs.

21 keer bekeken

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• Platoblockchain. Web3 Metaverse Intelligentie. Kennis versterkt. Toegang hier.
• Bron: https://blog.quillhash.com/2023/03/23/part-1-bridging-the-blockchain-a-deep-dive-into-cross-chain-hacks-and-failures/