Хакер в белой шляпе обнаружил ошибку в последнем обновлении для Arbitrum, сети масштабирования Ethereum, которая могла привести к краже более 530 миллионов долларов.
Создатель Arbitrum компания OffChain Labs ранее на этой неделе вознаградила хакера, работающего под псевдонимом 0xriptide, вознаграждением в размере 400 ETH (стоимостью около $530 000) за то, что он поделился своим открытием.
Arbitrum запустил свое последнее обновление Nitro 31 августа в преддверии слияния Ethereum, недавнего и долгожданного перехода сети Ethereum с механизма консенсуса proof-of-work на proof of stake.
Сразу же после запуска Arbitrum Nitro компания 0xriptide начала проверять его код в поисках уязвимостей, говорится в сообщении в блоге, где подробно описано это открытие.
Сети масштабирования Ethereum, такие как Arbitrum, обходят медленную скорость Ethereum mainnet и дорогостоящие транзакционные сборы, «накатывая» большое количество транзакций Ethereum на отдельную цепочку и затем передавая их обратно в Ethereum mainnet в виде одной транзакции. Это значительно повышает скорость и доступность транзакций Ethereum, но также может подвергнуть пользователей уязвимости.
Компания 0xriptide обнаружила, что мост между основной сетью Ethereum и Arbitrum Nitro содержит дефект, который позволяет любому трудолюбивому хакеру заменить адрес назначения Arbitrum на свой собственный. По сути, любые средства, предназначенные для перевода из Ethereum в Aribitrum, вместо этого могли быть перенаправлены прямо в кошелек хакера.
Согласно 0xriptide, хакер мог манипулировать ошибкой, чтобы либо выборочно отбирать массивные индивидуальные депозиты и избегать обнаружения, либо перекачивать весь входящий поток депозитов Arbitrum. В период между дебютом Artibrum Nitro в конце августа и моментом, когда 0xriptide уведомил OffChain Labs об ошибке, в Arbitrum из Ethereum перешло более 400 000 ETH, или $534 млн, согласно данным с приборной панели Dune Analytics.
0xriptide также отметил, что за последние три недели самый крупный депозит в Арибтрум составил 168 000 ETH, или $225 млн на момент написания статьи. Однако за этот период ни один хакер не воспользовался ошибкой, и Arbitrum не подвергся атакам.
Так называемые атаки через межцепочечный мост, подобные той, которую, возможно, предотвратил 0xriptide, слишком часто встречаются в мире скалеров Ethereum. В марте Lazarus Group, связанная с Северной Кореей хакерская группа, похитила ETH на сумму 622 миллиона долларов, проникнув в мост боковой цепи Ethereum, используемый игрой Axie Infinity. В июне эта же группа похитила 100 миллионов долларов, взломав другой мост Ethereum sidechain, используемый в игре Harmony Protocol.
Цена Ethereum (26 сентября)
После подтверждения дефекта в Arbitrum Nitro компания OffChain Labs отправила 0xriptide платеж в размере 400 ETH, или чуть более $530 000, через web3 платформу баг-баунти ImmuneFi.
«Спасибо команде Arbitrum за выплату 400 ETH, и, конечно, за создание невероятной технологической инновации с их реализацией L2», — написал 0xriptide в понедельник.
Однако хакеры, возможно, передумали относительно ценности своего открытия. Во вторник они написали в Твиттере, что, учитывая сэкономленные сотни миллионов долларов, Arbitrum мог бы быть более щедрым:
Ничего особенного, просто соединяем крутые $470 млн через тот же контракт Inbox 👀.
Определенно должен претендовать на максимальное вознаграждение
— riptide (@0xriptide) Сентябрь 20, 2022
