Ein White-Hat-Hacker hat einen Fehler im neuesten Upgrade für Arbitrum, einem Ethereum-Skalierungsnetzwerk, entdeckt, der zum Diebstahl von über 530 Millionen Dollar hätte führen können.
Der Arbitrum-Hersteller OffChain Labs belohnte den Hacker, der unter dem Pseudonym 0xriptide arbeitet, Anfang dieser Woche mit einem Kopfgeld von 400 ETH (im Wert von ca. 530.000 $) für die Veröffentlichung seiner Entdeckung.
Arbitrum startete sein neuestes Upgrade, Nitro, am 31. August im Vorgriff auf den Ethereum Merge, den kürzlich erfolgten und mit Spannung erwarteten Übergang des Ethereum-Netzwerks von einem Proof-of-Work-Konsensmechanismus zu einem Proof-of-Stake.
Unmittelbar nach dem Start von Arbitrum Nitro begann 0xriptide damit, den Code auf der Suche nach Schwachstellen zu durchforsten, wie aus einem Blog-Posting hervorgeht.
Ethereum-Skalierungsnetzwerke wie Arbitrum umgehen die langsame Geschwindigkeit des Ethereum-Hauptnetzes und die kostspieligen Transaktionsgebühren, indem sie eine große Menge an Ethereum-Transaktionen auf einer separaten Kette „aufrollen“ und sie dann als eine einzige Transaktion an das Ethereum-Hauptnetz zurückleiten. Dies erhöht die Geschwindigkeit und die Erschwinglichkeit von Ethereum-Transaktionen beträchtlich, aber es kann die Nutzer auch Schwachstellen aussetzen.
0xriptide entdeckte, dass die Brücke zwischen dem Ethereum-Hauptnetz und Arbitrum Nitro eine Schwachstelle enthielt, die es jedem fleißigen Hacker ermöglichen würde, die Zieladresse von Arbitrum durch seine eigene zu ersetzen. Im Grunde genommen könnten alle Gelder, die von Ethereum nach Aribitrum fließen sollten, stattdessen direkt in die Wallet eines Hackers umgeleitet werden.
Laut 0xriptide könnte ein Hacker den Fehler so manipuliert haben, dass er entweder selektiv einzelne massive Einzahlungen auswählte und so einer Entdeckung entging oder den gesamten Einzahlungsstrom von Arbitrum abschöpfte. In der Zeit zwischen dem Debüt von Artibrum Nitro Ende August und dem Zeitpunkt, an dem 0xriptide OffChain Labs über den Bug informierte, flossen laut Daten eines Dune Analytics Dashboards über 400.000 ETH bzw. 534 Millionen US-Dollar von Ethereum nach Arbitrum.
0xriptide stellte auch fest, dass innerhalb der letzten drei Wochen die größte Einzahlung auf Aribtrum 168.000 ETH oder 225 Millionen Dollar betrug. In dieser Zeit hat jedoch kein Hacker den Fehler ausgenutzt, und Arbitrum wurde nicht angegriffen.
Sogenannte Cross-Chain-Bridge-Angriffe, wie der, den 0xriptide möglicherweise verhindert hat, sind in der Welt der Ethereum-Scaler nur allzu häufig. Im März stahl die Lazarus Group, eine mit Nordkorea verbundene Hackergruppe, ETH im Wert von 622 Millionen Dollar, indem sie eine Ethereum-Sidechain-Brücke infiltrierte, die von dem Spiel Axie Infinity verwendet wurde, um Geld zu verdienen. Dieselbe Gruppe erbeutete im Juni 100 Millionen Dollar, indem sie eine andere Ethereum-Sidechain-Brücke angriff, die von Harmony Protocol genutzt wurde.
Ethereum Price (26th Sep)
Nach der Bestätigung des Fehlers in Arbitrum Nitro hat OffChain Labs 0xriptide über die Web3 Bug Bounty Plattform ImmuneFi eine Zahlung von 400 ETH oder etwas mehr als 530.000 Dollar zukommen lassen.
„Vielen Dank an das Arbitrum-Team, das ein Kopfgeld von 400 ETH zur Verfügung gestellt hat, und natürlich dafür, dass sie mit ihrer L2-Implementierung ein unglaubliches Stück technologischer Innovation geschaffen haben“, schrieb 0xriptide am Montag.
Die Hacker haben jedoch möglicherweise Zweifel am Wert ihrer Entdeckung entwickelt. Am Dienstag twitterten sie, dass Arbitrum angesichts der Hunderte von Millionen Dollar, die gespart wurden, großzügiger hätte sein können:
No big deal just bridging a cool $470mm through the same Inbox contract 👀.
Sollte auf jeden Fall für ein maximales Kopfgeld in Frage kommen
– riptide (@0xriptide) September 20, 2022
