Pametni ugovor Verus-Ethereum mosta ponovo je iskorišten u četvrtak, pri čemu su napadači izvukli između 7,3 i 7,5 miliona dolara u različitim digitalnim sredstvima, prema istraživačima blockchain sigurnosti. Incident predstavlja drugi proboj istog ugovora i iste ranjivosti u dva mjeseca. Napadači su 17. maja ukrali približno 11,6 miliona dolara koristeći sličan metod, čime ukupni gubici dostižu oko 19,1 milion dolara.
Sigurnosni analitičari su naveli da je napad uključivao zlonamjerno konstruisan uvoz sa Verus strane koji je sadržao nepokriveni zahtjev za isplatu na Ethereumu. Most je provjerio potpise notara, state root vrijednosti i Merkle dokaze, ali nije uspio da provjeri da li traženi iznos isplate odgovara sredstvima zaključanim ili izvezenim na Verus strani.
Prema kompaniji Backward Labs, osnovni uzrok bio je zaobilaženje autorizacije i problem u pretpostavci o stanju protokola. Most je prihvatio dokazani uvoz koji je odobravao isplate iz rezervi u više sredstava, ali su ključne uzvodne provjere za kreiranje, autorizaciju, transfer hash, broj i ekonomsku pokrivenost bile nedovoljne. Jedna analiza je istakla: „Ovog puta je isti osnovni uzrok ostao iskoristiv 66 dana.“
Sredstva izvučena iz rezervi mosta uključivala su Ether, tBTC, MKR, USDC, Tether, EURC i scrvUSD. Za DAI, most je stupio u interakciju sa kolateralnom pozicijom protokola Sky (ranije MakerDAO) kako bi iskovao otprilike 220.357 DAI radi ispunjenja lažnog zahtjeva. Nekoliko alata za nadzor označilo je transakciju kritičnom ocjenom, navodeći manipulaciju stanjem, proizvoljno kovanje i odlive iz decentralizovanih finansija (DeFi).
Backward Labs je objavio izvještaj i dokaz koncepta koji ističu narušenu invarijantu: „Rezerve Ethereum mosta smiju biti oslobođene samo za transfere rezervi sa izvornog lanca čiji su kreiranje CCE, autorizacija, transfer hash, broj i ekonomska pokrivenost svi dokazani u okviru očekivanog životnog ciklusa mosta.“ Napad naglašava trajne sigurnosne izazove kod cross-chain mostova, gdje kriptografska provjera uspijeva, ali validacija poslovne logike za pokrivenost sredstava zakaže. Iskorištavanja mostova ostaju stalni problem u DeFi-ju, često dovodeći do nenadoknadivih gubitaka jer su blockchain transakcije nepromjenljive.
Izvor: Bitcoin.com