Протокол Anyswap - REKT

AnySwap и Chainswap за 24-х часовой период времени.

Anyswap быстро объявили об инциденте.

Эксплоит был обнаружен в новом прототипе anyswap v3, все фонды моста, используемые в версиях 1 и 2 в безопасности. Меры по устранению недостатков уже приняты в отношении всех фондов, подвергшихся эксплоиту.

Адрес атакующего: 0x0aE1554860E51844B61AE20823eF1268C3949f7C

Все потерянные фонды были стейблкойнами с долларовой привязкой общей стоимостью приблизительно $7.9 миллионов.

В ходе одной только этой транзакции было украдено свыше 5.5M $MIM.

Следующие 3 транзакции послужили для кражи общей суммы в ~2.4M USDC.

1: через Ethereum - 1,536,821.7694 USDC

2: через BSC - 749,033.37 USDC

3: через Fantom - 112,640.877101 USDC

Корень эксплоита находится в использовании ECDSA прототипом V3 роутера, это алгоритм, который обеспечивает безопасность кошелька MPC генерированием приватных ключей.

Главный момент здесь в том, что каждое значение k, вычисленное алгоритмом, должно основываться на отличном, случайном числе для каждой подписи. Если две или больше транзакций содержат повторяющееся значение k, тогда приватный ключ может быть вычислен заново.

Потенциальная проблема безопасности известна с 2010, когда группа консольных хакеров fail0verflow описала процесс здесь (с. 123-129). И ее применение к ключам в блокченах было позже описано в 2013.

Источник: Tayvano

Несмотря на это, в пост-мортеме Anyswap говорится, что атакующий обнаружил повторяющееся значение k в двух транзакциях роутера V3 на BSC, и смог вычислить приватный ключ.

Anyswap подчеркнул, что "были затронуты только новые кросс-чейновые пулы ликвидности V3", и что мост продолжает функционировать через роутеры V1 и V2. В пост-мортеме также говорится, что код V3 был исправлен, и что он откроется заново через 48 часов, после того, как истечет срок временной блокировки, установленной командой.

Команда также связалась с возможными охотниками за баунти.

Anyswap гарантирует вознаграждение любому, кто сообщит нам о багах. Это поможет нам построить по-настоящему безопасные и даже лучшие кросс-чейновые решения.

Необходимость в полностью безопасных мостах растет с каждым днем, по мере того как крипто-капиталы распространяются по всевозможным цепям.

Однако, архитектура безопасности для кросс-чейновых мостов сложна - и представляет для разработчиков головоломку, которую им еще предстоит решить.

Anyswap V3 был прототипом, поэтому совершенства не ожидалось, но беря во внимание природу эксплоита, похоже, что этой потери можно было избежать.

Несмотря на то, что шаги по предотвращению других атак были сделаны достаточно быстро, @nicksdjohnson придерживается мнения, что патч не обеспечивает достаточной защиты.

Если не брать во внимание тот факт, что существует гораздо лучшее, стандартное для индустрии решение этой проблемы, их патч: Катастрофически выдает сбой (подставляя пользователей под удар новой атаки), если случайно удалить файл, или восстановить из старого бэкапа, или перейти на новый сервер.

Он требует, чтобы каждый запрос подписи сканировал все предыдущие, но это здесь наименьшая из проблем.

Anyswap называют сами себя "трастлесс-протоколом", но возможно у этого названия больше нет желаемого эффекта после того, как он получил такую убийственную оценку от лидирующего разработчика Эфириума.

Вы доверяете патчу Anyswap?

REKT представляет собой общественную площадку для анонимных авторов. Мы не несём ответственность за выражаемые точки зрения или контент на этом веб-сайте.

Пожертвование (ETH / ERC20): 0x3C5c2F4bCeC51a36494682f91Dbc6cA7c63B514C

Дисклеймер:

REKT не несет никакой ответственности за любое содержание, размещенное на нашем Веб-сайте или имеющее какое-либо отношение к оказываемым нами Услугам, независимо от того, было ли оно опубликовано или создано Анонимным Автором нашего Веб-сайта или REKT. Не смотря на то, что мы устанавливаем правила поведения и нормы публикаций для Анонимных Авторов, мы не контролируем и не несем ответственность за содержание публикаций Анонимных Авторов, а также за то, чем делятся и что передают Авторы с помощью нашего Сайта и наших Сервисов, и не несем ответственность за любое оскорбительное, неуместное, непристойное, незаконное или спорное содержание, с которым вы можете столкнуться на нашем Веб-сайте и на наших Сервисах. REKT не несет ответственность за поведение, будь то онлайн или офлайн, любого пользователя нашего Веб-сайта или наших Сервисов.