Most krzyżowy Harmony wykorzystany za 100 mln USD

Zespół Harmony potwierdził, że most Horizon został wykorzystany za około 100 milionów dolarów w różnych tokenach.

Trafienie na most Harmony za 100 mln USD

Harmony, zgodny z EVM blockchain typu Proof-of-Stake, wykorzystał most krzyżowy Horizon w przypadku poważnego naruszenia bezpieczeństwa.

1/ Zespół Harmony zidentyfikował kradzież, która miała miejsce dzisiejszego ranka na moście Horizon o wartości ok. 100 tys. XNUMX milionów dolarów. Rozpoczęliśmy współpracę z władzami krajowymi i specjalistami medycyny sądowej w celu zidentyfikowania winowajcy i odzyskania skradzionych środków.

Więcej ?

- Harmonia ? (@harmoniaprotokół) 23 czerwca 2022 r.

Zespół Harmony potwierdził w piątkowym porannym poście na Twitterze, że Horizon, most łączący sieć Harmony z BNB Chain i Ethereum, został wykorzystany za około 100 milionów dolarów w różnych tokenach. „Zespół Harmony zidentyfikował kradzież, która miała miejsce dziś rano na moście Horizon, o wartości ok. 100 tys. XNUMX milionów dolarów”, napisano w oficjalnym wpisie Harmony na Twitterze, dodając, że już współpracuje z władzami krajowymi i ekspertami medycyny sądowej w celu zidentyfikowania napastnika i potencjalnego odzyskania skradzionych środków.

Według danych on-chain exploit rozpoczął się około godziny 12:02 UTC w czwartek i trwał około 15 godzin. Atakujący wykonał 16 złośliwych transakcji o różnych rozmiarach, od 14,190 30 do 100 ETH, zanim zespół Harmony zauważył atak i zatrzymał most Horizon, aby zapobiec dalszym złośliwym transakcjom. Po kradzieży różnych tokenów o wartości około XNUMX milionów dolarów, w tym Frax, Frax Shares, opakowanych Ethereum, opakowanych Bitcoinów, Aave, Sushi, Tether i Binance USD, atakujący wysłał je do różnych portfeli, zamienił je na Ethereum na zdecentralizowanej giełdzie Uniswap, a następnie przekazał skradzione środki z powrotem do pochodzący portfel.

Nietypowe dla tego typu exploitów, osoba atakująca nie próbowała jeszcze anonimizować skradzionych środków za pomocą protokołu prywatności, takiego jak Tornado Cash. W kolejnym tweecie zespół Harmony stwierdził, że współpracuje z Federalnym Biurem Śledczym i wieloma firmami zajmującymi się bezpieczeństwem cybernetycznym w celu wyśledzenia i zidentyfikowania napastnika. Zaangażowanie władz USA oznacza, że ​​istnieje możliwość, że Biuro Kontroli Aktywów Zagranicznych doda portfel atakującego do swoich usankcjonowanych adresów czarnej listy, skutecznie uniemożliwiając jej pranie skradzionych środków za pośrednictwem Tornado Cash.

Chociaż Harmony nie ujawnił jeszcze szczegółowych informacji na temat tego, jak doszło do exploita, eksperci ds. bezpieczeństwa blockchain spekulowali, że atakujący prawdopodobnie uzyskał dostęp do co najmniej dwóch z pięciu kluczy prywatnych portfela z wieloma podpisami kontrolującego inteligentne kontrakty mostowe Horizon. Ten wektor ataku był już podświetlony w kwietniu przez Ape Deva, pseudonimowego założyciela firmy Chainstride Capital, która koncentruje się na kryptowalutach. Powiedzieli, że zbadali most Harmony na Ethereum i odkryli, że „jeśli dwa z czterech podpisujących multisig zostaną skompromitowane, zobaczymy kolejne 9-cyfrowe włamanie”, co wydaje się być dokładnie tym, co wydarzyło się wczoraj.

Mudit Gupta, dyrektor ds. bezpieczeństwa informacji w firmie Polygon, skomentował że nie był to „hack na łańcuchu bloków”, ale „tradycyjny hack”, i spekulował, że atakujący prawdopodobnie naruszył serwery hostujące klucze portfela z wieloma podpisami Horizon. „Po wejściu na serwer mogli uzyskać dostęp do kluczy, które były przechowywane w postaci zwykłego tekstu w celu podpisywania legalnych transakcji”, powiedział, dodając, że exploit jest „niesamowicie podobny” do 551.8 miliona dolarów Axie Infinity. Sieć Ronina wykorzystać od marca. W kwietniu Departament Skarbu USA Zatwierdzony że za exploitem Ronin Network stoi sponsorowana przez państwo grupa cyberprzestępcza z Korei Północnej, znana jako Lazarus Group.

Harmony stwierdził, że exploit nie miał wpływu na jego niezaufany most Bitcoin i będzie nadal aktualizować opinię publiczną o nowe informacje, gdy się pojawią.

Ujawnienie: W momencie pisania tego tekstu autor tego artykułu był właścicielem ETH i kilku innych kryptowalut.