Un hacker white hat ha scoperto un bug nell’ultimo aggiornamento di Arbitrum, una rete di scalabilità di Ethereum, che avrebbe potuto portare al furto di oltre 530 milioni di dollari.
All’inizio di questa settimana il costruttore di Arbitrum, OffChain Labs, ha ricompensato l’hacker, che opera con lo pseudonimo di 0xriptide, con una taglia di 400 ETH (del valore di circa 530.000 dollari) per aver condiviso la scoperta.
Arbitrum ha lanciato il suo ultimo aggiornamento, Nitro, il 31 agosto, in previsione dell’Ethereum merge, la recente e molto attesa transizione della rete Ethereum da un meccanismo di consenso proof-of-work a proof of stake.
Subito dopo il lancio di Arbitrum Nitro, 0xriptide ha iniziato a setacciare il suo codice alla ricerca di eventuali vulnerabilità, secondo quanto riportato in un post sul blog che illustra la scoperta.
Le reti di scaling di Ethereum come Arbitrum superano la lentezza della mainnet di Ethereum e le costose commissioni di transazione “arrotolando” una grande quantità di transazioni Ethereum su una catena separata e poi ritrasmettendole alla mainnet di Ethereum come una singola transazione. Questo aumenta notevolmente la velocità e la convenienza delle transazioni Ethereum, ma può anche esporre gli utenti a vulnerabilità.
0xriptide ha scoperto che il ponte tra la mainnet di Ethereum e Arbitrum Nitro conteneva una falla che avrebbe permesso a qualsiasi hacker industrioso di sostituire l’indirizzo di destinazione di Arbitrum con il proprio. In sostanza, tutti i fondi destinati a confluire da Ethereum in Aribitrum potrebbero invece essere reindirizzati direttamente nel portafoglio di un hacker.
Secondo 0xriptide, un hacker avrebbe potuto manipolare il bug per prelevare selettivamente singoli depositi massicci ed evitare il rilevamento, oppure per sottrarre l’intero flusso di depositi in entrata di Arbitrum. Nel periodo compreso tra il debutto di Artibrum Nitro a fine agosto e la notifica del bug da parte di 0xriptide a OffChain Labs, oltre 400.000 ETH, pari a 534 milioni di dollari al momento della scrittura, si sono spostati su Arbitrum da Ethereum, secondo i dati di una dashboard di Dune Analytics.
0xriptide ha anche notato che nelle ultime tre settimane, il più grande deposito singolo verso Aribtrum è stato di 168.000 ETH, o 225 milioni di dollari al momento della scrittura. In questo periodo, tuttavia, nessun hacker ha sfruttato il bug e Arbitrum non ha subito attacchi.
I cosiddetti attacchi cross-chain bridge come quello che 0xriptide potrebbe aver impedito sono fin troppo comuni nel mondo degli scaler di Ethereum. A marzo, Lazarus Group, un gruppo di hacker affiliato alla Corea del Nord, ha rubato 622 milioni di dollari di ETH infiltrandosi in un ponte della sidechain di Ethereum utilizzato dal gioco Axie Infinity. Lo stesso gruppo è riuscito a sottrarre 100 milioni di dollari a giugno, prendendo di mira un altro bridge della sidechain di Ethereum utilizzato da Harmony Protocol.
Ethereum Price (26th Sep)
In seguito alla conferma della falla in Arbitrum Nitro, OffChain Labs ha inviato a 0xriptide un pagamento di 400 ETH, ovvero poco più di 530.000 dollari, tramite la piattaforma di bug bounty web3 ImmuneFi.
“Grazie al team Arbitrum, estremamente basato, per aver messo a disposizione una taglia di 400 ETH e, naturalmente, per aver creato un incredibile pezzo di innovazione tecnologica con la loro implementazione di L2”, ha scritto 0xriptide lunedì.
Tuttavia, l’hacker potrebbe aver avuto dei ripensamenti sul valore della sua scoperta. Martedì hanno twittato che, viste le centinaia di milioni di dollari risparmiati, Arbitrum avrebbe potuto essere più generoso:
Non è un grande affare, solo un ponte di 470 mm di dollari con lo stesso contratto Inbox 👀
Dovrebbe essere sicuramente eleggibile per una taglia massima.
– riptide (@0xriptide) 20 settembre 2022
