Weitere Details werden nach einem Angriff am 2. Juli auf die Cross-Chain-Bridge-Plattform Poly Network bekannt, der dazu führte, dass ein Hacker Milliarden von Token aus dem Nichts ausgeben konnte, um Gewinn zu machen.
In einem Twitter-Beitrag vom 2. Juli schrieb Poly Network bestätigt Es wurde zum jüngsten DeFi-Exploit-Opfer, nachdem es Angreifern gelungen war, eine Smart-Contract-Funktion im Cross-Chain-Bridge-Protokoll zu manipulieren, und fügte hinzu, dass die Dienste vorübergehend eingestellt würden.
Im neuesten Update das Team enthüllt Der Exploit betraf 57 Krypto-Assets auf 10 Blockchains – darunter Ethereum, BNB Chain, Polygon, Avalanche, Heco, OKx und andere wie Metis.
Es wurde nicht angegeben, wie viel bei dem Angriff gestohlen wurde, Peckshield jedoch zuvor gemeldet dass der Angreifer Kryptowährungen im Wert von mindestens 5 Millionen US-Dollar transferiert hatte.
„Wir haben bereits die Kommunikation mit zentralen Börsen und Strafverfolgungsbehörden eingeleitet und deren Unterstützung gesucht“, erklärte das Team in einem Update vom 3. Juli.
Außerdem wurde Projektteams und Token-Inhabern empfohlen, Liquidität abzuheben und ihre LP-Token (Liquiditätsanbieter) freizuschalten.
„34 Milliarden“-Hack-Zusammenbruch bei Poly Network
DeFi-Sicherheitsanalyst @0xArhat genannt Der Exploit war das Ergebnis einer Smart-Contract-Schwachstelle, die es dem Hacker ermöglichte, „einen bösartigen Parameter zu erstellen, der eine gefälschte Validator-Signatur und einen Block-Header enthält“.
Dies wurde vom Smart Contract akzeptiert und ermöglichte es dem Hacker, den Verifizierungsprozess zu umgehen und Token aus dem Ethereum-Pool von Poly Network an seine eigene Adresse in anderen Ketten wie Metis, BNB Chain und Polygon auszugeben.
Der Vorgang wurde für andere Ketten wiederholt, wodurch sich der Token-Vorrat anhäufte.
Zu einem Zeitpunkt enthielt die Brieftasche des Hackers Token im Wert von rund 42 Milliarden US-Dollar, konnte jedoch nur einen Bruchteil davon umwandeln und stehlen, sagte der Analyst.
„Auf diese Weise konnte der Hacker Milliarden von Token auf verschiedenen Blockchains prägen, die es vorher nicht gab, und diese auf seine eigenen Wallet-Adressen übertragen.“
Der neueste Exploit von Poly Network wurde vom Blockchain-Sicherheitslösungsanbieter Dedaub als „34-Milliarden-Poly-Network-Hack“ bezeichnet.
Mit einer technischen Obduktion dem „34 Milliarden“-Poly-Netzwerk-Hack auf den Grund gehen.
TL; DR
Poly Network hatte über 2 Jahre hinweg eine einfache 3 von 4 Multisig-Anordnung!
Als wir uns das letzte Ereignis ansahen, stellten wir fest, dass die privaten Schlüssel zu den markierten Adressen kompromittiert waren. pic.twitter.com/Y0eMJXcYso
– Dedaub (@dedaub) 2. Juli 2023
Dedaub wies auf Schwachstellen in der Mehrfachsignatur des Protokolls hin und gab an, dass es sich um eine einfache „3 von 4“-Mehrfachsignaturvereinbarung über zwei Jahre handelte, und fügte hinzu:
„Als wir uns das letzte Ereignis ansahen, stellten wir fest, dass die privaten Schlüssel zu den markierten Adressen kompromittiert waren.“
Dedaub erklärte, dass der Angriff nicht komplex sei, da keine Logikfehler ausgenutzt worden seien. Es fügte hinzu, dass Poly Network nur langsam reagierte und sieben Stunden brauchte, was die Plattform 5,5 Millionen US-Dollar an gestohlenen Kryptowährungen kostete. Glücklicherweise verhinderte die mangelnde Liquidität vieler Token weitere Verluste.
Verwandt: Im zweiten Quartal gingen durch DeFi-Hacks und -Betrügereien über 204 Millionen US-Dollar verloren
Nach dem Angriff versicherte Binance-CEO Changpeng Zhao den Kunden: Angabe dass „Dies keine Auswirkungen auf Binance-Benutzer hat.“ Wir unterstützen keine Einzahlungen aus diesem Netzwerk.“
Poly Network hat erneut Recht bekommen; angeblich wegen kompromittierter Hotkeys.
Das wird so lange so weitergehen, bis unsere Branche ihren Sicherheitsansatz ändert.
Intelligente Vertragsprüfungen kratzen nur an der Oberfläche.
ps Poly-Netzwerk hat NICHTS mit Polygon zu tun. https://t.co/n1qI48b4Kb
– Mudit Gupta (@Mudit__Gupta) 2. Juli 2023
Cointelegraph wandte sich wegen weiterer Einzelheiten an Poly Network, erhielt jedoch zum Zeitpunkt der Veröffentlichung keine Antwort.
Das Poly Network wurde bereits im August 2021 in einem der größten Exploits der Branche angegriffen, als Hacker, von denen später bekannt wurde, dass sie mit dem nordkoreanischen Hackerkollektiv Lazarus Group in Verbindung standen, über 600 Millionen US-Dollar erbeuteten.
Magazin: Tornado Cash 2.0: Der Wettlauf um den Bau sicherer und legaler Münzmischer