Um hacker de chapéu branco descobriu um bug dentro da última actualização para a Arbitrum, uma rede de escala Ethereum, que poderia ter levado ao roubo de mais de $530 milhões de dólares.
O construtor da Arbitrum OffChain Labs no início desta semana recompensou o hacker, que opera sob o pseudónimo 0xriptide, com uma recompensa de 400 ETH (no valor aproximado de $530.000) por partilhar a descoberta.
Arbitrum lançou a sua última actualização, Nitro, a 31 de Agosto, em antecipação da fusão do Ethereum, a transição recente e muito aguardada da rede Ethereum de um mecanismo de prova de consenso de trabalho para prova de aposta.
Imediatamente após o lançamento da Arbitrum Nitro, 0xriptide começou a vasculhar o seu código em busca de quaisquer vulnerabilidades, de acordo com um post de blogue que detalhava a descoberta.
Ethereum scaling networks like Arbitrum navigate the Ethereum mainnet’s slow speed and costly transaction fees by “rolling up” a large quantity of Ethereum transactions on a separate chain and then relaying them back to the Ethereum mainnet as a single transaction. Ao fazê-lo, aumenta substancialmente a velocidade e a acessibilidade das transacções Ethereum, mas também pode expor os utilizadores a vulnerabilidades.
0xriptide descobriu que a ponte entre a rede principal Ethereum e Arbitrum Nitro continha uma falha que permitiria a qualquer hacker industrial substituir o endereço de destino de Arbitrum pelo seu próprio endereço. Essencialmente, quaisquer fundos destinados a fluir do Ethereum para o Aribitrum poderiam ser redireccionados directamente para a carteira de um hacker.
Por 0xriptide, um hacker poderia ter manipulado o bug para recolher selectivamente depósitos individuais massivos e evitar a detecção, ou desviado de todo o fluxo de depósitos de entrada de Arbitrum. No período entre a estreia do Artibrum Nitro em finais de Agosto e quando o 0xriptide notificou a OffChain Labs do bug, mais de 400.000 ETH, ou $534 milhões de dólares por escrito, mudou-se para Arbitrum a partir do Ethereum, de acordo com os dados de um painel de controlo da Dune Analytics.
0xriptide também observou que nas últimas três semanas, o maior depósito único para a Aribtrum ascendeu a 168.000 ETH, ou $225 milhões de dólares por escrito. Nesse período, contudo, nenhum hacker explorou o bug, e a Arbitrum não sofreu ataques.
Os chamados ataques de ponte de cadeia cruzada, como o 0xriptide pode ter evitado, são muito comuns no mundo dos escaladores Ethereum. Em Março, o Grupo Lazarus, um grupo de hacking filiado na Coreia do Norte, roubou 622 milhões de dólares de ETH ao infiltrar-se numa ponte de Ethereum sidechain utilizada pelo jogo Axie Infinity. Esse mesmo grupo conseguiu obter 100 milhões de dólares em Junho ao visar outra ponte Ethereum sidechain, utilizada pelo Protocolo de Harmonia.
Ethereum Price (26th Sep)
A confirmação da falha em Arbitrum Nitro, OffChain Labs enviou 0xriptide um pagamento de 400 ETH, ou pouco mais de $530,000, via web3 bug bounty platform ImmuneFi.
“Obrigado à equipa Arbitrum extremamente baseada por fornecer uma recompensa de 400 ETH, e claro por criar uma incrível peça de inovação tecnológica com a sua implementação L2,” 0xriptide escreveu na segunda-feira.
Contudo, o hacker pode ter desenvolvido uma segunda reflexão sobre o valor da sua descoberta. Na terça-feira, eles tweeted que, dadas as centenas de milhões de dólares economizados, o Arbitrum poderia ter sido mais generoso:
Não é nada de especial apenas fazer a ponte para um contrato de $470mm através do mesmo contrato da Caixa de Entrada 👀
Definitivamente deve ser elegível para uma recompensa máxima
