Arbitrum ogłasza wypłatę 400 ETH bug bounty

Dziś rano pojawiły się szczegóły dotyczące luki w zabezpieczeniach i nagrody zapłaconej przez Arbitrum. Poprawiony exploit mógł narazić na szwank ponad 250 milionów dolarów.

Luka została odkryta przez pseudonimowego łowcę nagród solidity „0xriptide”. Mogło to wpłynąć na każdego użytkownika, który próbował połączyć fundusze z Ethereum do Arbitrum Nitro, powiedział 0xriptide.

Arbitrum zapłacił 0xriptide 400 ETH (około 520,000 XNUMX USD) jako rekompensatę za powiadomienie go o luce.

0xriptide's codzienność polega na przeszukiwaniu ImmuneFi, platformy bug bounty, która zapobiegła włamaniom o wartości ponad 20 miliardów dolarów. Jego głównym celem było ostatnio skoncentrowanie się na zapobieganiu exploitom cross-chain, ponieważ stanowią one znacznie większą ilość zagrożonych funduszy ze względu na strukturę „honeypot” większości protokołów mostkowych, powiedział w raport.

Jego początkowe poszukiwania exploita Arbitrum rozpoczęły się kilka tygodni temu przed aktualizacją Arbitrum Nitro. Podczas wstępnego dochodzenia odkrył lukę, w której umowa pomostowa była w stanie przyjmować depozyty, mimo że umowa została zainicjowana wcześniej.

0xriptide powiedział,

„Kiedy się natkniesz an niezainicjowana zmienna adresu w Solidity — zawsze powinieneś poświęcić chwilę na zatrzymanie i dalsze zbadanie, ponieważ nigdy nie wiesz, czy celowo pozostawiono ją niezainicjowaną, czy przez przypadek."

Most wykorzystać 

Po przekopaniu się do niezainicjowanego adresu, 0xriptide odkrył, że haker byłby w stanie ustawić własny adres jako most, naśladując rzeczywisty kontrakt i ukraść wszystkie przychodzące depozyty ETH z Etheruem do Arbitrum Nitro.

Haker miałby elastyczność, by albo celować w większe depozyty ETH, aby ukryć swoje działania, albo rozpocząć atak typu partyzanckiego i wyprowadzić wszystkie napływające fundusze.

Największy depozyt w okresie, w którym mógł wystąpić exploit, wynosił około 168,000 250 ETH, czyli 24 milionów dolarów. Średnie depozyty w dowolnym 1,000-godzinnym okresie, w którym można było wykorzystać lukę, wynosiły od 5,000 do XNUMX ETH.

© 2022 The Block Crypto, Inc. Wszelkie prawa zastrzeżone. Ten artykuł służy wyłącznie celom informacyjnym. Nie jest oferowany ani przeznaczony do wykorzystania jako porady prawne, podatkowe, inwestycyjne, finansowe lub inne.