Hyökkäys Verus DeFi-protokollaan
Tutkijat ovat raportoineet, että hyökkääjä tyhjensi varoja, mukaan lukien tBTC, ETH ja USDC, ennen kuin vaihtoi varastetut varat ETH:ksi. Turvallisuustutkijat ovat myös huomauttaneet, että hyökkääjän lompakko rahoitettiin alun perin Tornado Cashin kautta heti ennen hyökkäyksen tapahtumista.
Hyökkäyksen laajuus
DeFi-protokolla Verus kohtaa ilmeisesti suurta hyökkäystä, joka liittyy sen Ethereum-siltaan. Lohkoketjuturvallisuusyritykset arvioivat, että hyökkääjät ovat jo tyhjentäneet noin 11,58 miljoonaa dollaria digitaalisia varoja. Tapahtuma huomattiin ensimmäisen kerran myöhään sunnuntaina on-chain-turvallisuuspalvelun Blockaidin toimesta, joka tunnisti epäilyttävää toimintaa hyökkääjän lompakosta, joka alkaa osoitteella ”0x5aBb”.
”Varastetut varat säilytettiin toisessa osoitteessa, joka päättyy ’C25F9’.”
PeckShieldin turvallisuustutkijat antoivat myöhemmin lisätietoja hyökkäyksestä ja väittivät, että Verus-Ethereum-silta menetti noin 103,6 tBTC, 1 625 ETH ja 147 000 USDC hyökkäyksen aikana. Yrityksen mukaan hyökkääjä vaihtoi nopeasti varastetut varat noin 5 402 ETH:ksi, jonka arvo on nykyisin markkinahintojen mukaan noin 11,4 miljoonaa dollaria.
Hyökkäyksen taustat
PeckShield paljasti myös, että hyökkääjän lompakko rahoitettiin alun perin Tornado Cashin kautta, kryptovaluuttasekoituspalvelun, joka usein liittyy anonyymeihin transaktioihin. Osoite sai 1 ETH noin 14 tuntia ennen hyökkäyksen tapahtumista.
Toinen lohkoketjuturvallisuusyritys, GoPlus, ehdotti, että hyökkäys saattoi liittyä monimutkaiseen virheeseen sillan transaktioiden vahvistusjärjestelmässä. Yritys totesi, että hyökkääjä näytti lähettäneen alhaisarvoisen transaktion sillan sopimukseen ennen kuin aktivoi toiminnon, joka mahdollisti varareservien massasiirron suoraan tyhjentäjän lompakkoon.
”GoPlus lisäsi, että tapaus voisi liittyä ristiketjuviestivahvistusvirheisiin, allekirjoitusväärennösheikkouksiin, nostologiikan kiertämiseen tai pääsynhallintavirheisiin sillan infrastruktuurissa.”
Verus-protokollan taustat
Tällaiset haavoittuvuudet ovat tulleet hyvin yleisiksi kohteiksi hyökkääjille hajautetussa rahoituksessa, erityisesti ristiketjusilloille, jotka hallitsevat suuria lukittuja likviditeettialtaita. Verus lanseerattiin vuonna 2018, ja se on yksityisyyteen keskittyvä lohkoketjuverkko, joka toimii hybridillä ”proof-of-power” -konsensusmekanismilla, yhdistäen proof-of-work- ja proof-of-stake-elementtejä. Sen Ethereum-silta esiteltiin lokakuussa 2023, ja se suunniteltiin mahdollistamaan käyttäjien siirtää ja muuntaa varoja Verus-ekosysteemin ja Ethereumin välillä.
