Een white hat hacker heeft een bug ontdekt in de laatste upgrade voor Arbitrum, een Ethereum-schalingsnetwerk, die had kunnen leiden tot de diefstal van meer dan $530 miljoen.
Arbitrum bouwer OffChain Labs beloonde eerder deze week de hacker, die opereert onder het pseudoniem 0xriptide, met een bounty van 400 ETH (ter waarde van ongeveer $530.000) voor het delen van de ontdekking.
Ethereum-schalingsnetwerken zoals Arbitrum omzeilen de trage snelheid en dure transactiekosten van het Ethereum mainnet door een grote hoeveelheid Ethereum-transacties op een aparte keten “op te rollen” en ze vervolgens als een enkele transactie terug te sturen naar het Ethereum mainnet. Dit verhoogt de snelheid en betaalbaarheid van Ethereum-transacties aanzienlijk, maar het kan gebruikers ook blootstellen aan kwetsbaarheden.
0xriptide ontdekte dat de brug tussen het Ethereum mainnet en Arbitrum Nitro een fout bevat waardoor een ijverige hacker het bestemmingsadres van Arbitrum zou kunnen vervangen door zijn eigen adres. In wezen zou al het geld dat van Ethereum naar Aribitrum zou moeten vloeien, in plaats daarvan rechtstreeks naar de portemonnee van een hacker kunnen gaan.
Volgens 0xriptide kan een hacker de bug hebben gemanipuleerd om ofwel selectief grote individuele stortingen te doen en zo detectie te vermijden, ofwel de hele inkomende stortingsstroom van Arbitrum over te hevelen. In de periode tussen het debuut van Artibrum Nitro eind augustus en het moment waarop 0xriptide OffChain Labs op de hoogte bracht van de bug, werden meer dan 400.000 ETH, of $534 miljoen bij het schrijven, vanuit Ethereum naar Arbitrum overgeheveld, volgens gegevens van een dashboard van Dune Analytics.
0xriptide merkte ook op dat in de laatste drie weken de grootste enkele storting naar Aribtrum 168.000 ETH bedroeg, of $225 miljoen bij het schrijven. In die periode heeft echter geen enkele hacker de bug uitgebuit, en kreeg Arbitrum geen aanvallen te verduren.
Zogenaamde cross-chain bridge-aanvallen zoals die welke 0xriptide mogelijk heeft voorkomen, komen maar al te vaak voor in de wereld van Ethereum scalers. In maart stal Lazarus Group, een aan Noord-Korea gelieerde hackersgroep, voor $622 miljoen aan ETH door een Ethereum sidechain bridge te infiltreren die werd gebruikt door het spel Axie Infinity. Diezelfde groep ging er in juni vandoor met $100 miljoen door een andere Ethereum sidechain bridge te overvallen die gebruikt werd door Harmony Protocol.
Ethereum Price (26th Sep)
Na bevestiging van het lek in Arbitrum Nitro, stuurde OffChain Labs 0xriptide een betaling van 400 ETH, of iets meer dan $530.000, via web3 bug bounty platform ImmuneFi.
“Dank aan het extreem gebaseerde Arbitrum team voor het verstrekken van een 400 ETH bounty, en natuurlijk voor het creëren van een ongelooflijk stukje technologische innovatie met hun L2 implementatie,” schreef 0xriptide op maandag.
De hacker heeft zich echter misschien bedacht over de waarde van hun ontdekking. Op dinsdag twitterden ze dat Arbitrum, gezien de honderden miljoenen dollars die zijn bespaard, genereuzer had kunnen zijn:
No big deal gewoon een koele $470mm overbruggen via hetzelfde Inbox contract 👀
Moet zeker in aanmerking komen voor een maximale premie.
– riptide (@0xriptide) September 20, 2022
