یک خطای قابل بهره برداری در اتصال پل Ethereum و داوری Nitro توسط یک توسعه دهنده ناشناس فاش شد و از یک هک بزرگ رمزنگاری دیگر در اکوسیستم کریپتو جلوگیری کرد.
هکر کلاه سفید، riptide، با فاش کردن یک باگ مهم در راه حل مقیاس‌پذیری اتریوم Arbitrum که می‌توانست به هر هکری اجازه دهد تمام سپرده‌های دریافتی بین پل Layer400 و Layer1 را بدزدد، 2 ETH دریافت کرد.
این هکر اخلاقی به جای بهره برداری از نقض، خاطرنشان کرد: «علاقه فعلی من در عرصه زنجیره متقابل به دلیل پیچیدگی درگیر برای توسعه دهندگان این پروژه ها و مقدار قابل توجهی از وجوه در معرض خطر به دلیل ساختار فعلی «honeypot» است. اکثر پیاده سازی های پل.
هکر کلاه سفید اخلاقی یک سوء استفاده چند میلیون دلاری دیگر را منحرف کرد
Riptide در یک پست وبلاگ اشاره کرد که می‌دانست Arbitrum Nitro در حال راه‌اندازی است و تصمیم گرفت برای بررسی موفقیت آن به‌روزرسانی را زیر نظر داشته باشد. با این حال، پس از پیدا کردن تیم امنیت لاتاری این هکر اخلاقی خاطرنشان کرد که زمان کافی برای هدف قرار دادن ذخایر بزرگ اتریوم وجود دارد تا برای مدت طولانی تری ناشناخته باقی بمانند، هر رسوبی را که از روی پل می گذرد حذف کند، یا به سادگی منتظر بمانیم و سپرده عظیم ETH بعدی را اجرا کنیم.
صندوق ورودی تاخیری زنجیره آربیتروم، که برای سپرده گذاری اتریوم یا توکن ها از طریق یک پل استفاده می شود، از یک تابع اولیه استفاده می کند. هکر کلاه سفید خاطرنشان کرد که «ما می‌توانیم تمام سپرده‌های اتریوم ورودی را از کاربرانی که تلاش می‌کنند از طریق تابع ()depositEth به Arbitrum پل بزنند، ربودیم».
آسیب‌پذیری‌های روی پل‌های کریپتو بیشترین بهره‌برداری را دارند
اوایل ماه اوت ، کریپتو بریج Nomad نزدیک به 200 میلیون دلار مورد سوء استفاده قرار گرفت زیرا حملات بر روی پل یک تاکتیک رایج برای جنایتکاران است. تنها در سال جاری حملات متعددی رخ داده است، از جمله حمله 600 میلیون دلاری به پل رونین Axie Infinity که دوباره راه اندازی شد.
گزارش شده که هکرها دزدیده شد نزدیک به 2 میلیارد دلار از DEFI صنعت طی شش ماهه نخست سال جاری، با توجه به Chainalysis. در همین حال تخمین زده می شود که گروه های جنایتکار کره شمالی قبلاً یک میلیارد دلار ارز دیجیتال از آن گرفته است DEFI پروتکل ها تنها در سال 2022
با آن، این حادثه همچنین بحثی را در مورد تعداد جوایز تحویل داده شده به توسعه دهندگان و هکرهای کلاه سفید برای افشای نقاط ضعف آغاز کرده است. یک توسعه دهنده Optimism، که از دسته توییتر 'smartcontracts.eth' استفاده می کند، استدلال کرد که با توجه به تأثیر بالقوه خطا، حداکثر پاداش می تواند داده شود، و اضافه کرد: «اشکال پل Arbitrum باگ مهم پل شماره 3 است که توسط اولیه سازهای بد ایجاد می شود. در صورت نیاز به دلیل دیگری برای خلاص شدن از شر اولیه. Surprised Arbitrum فقط 400 ETH پرداخت کرد و نه حداکثر پاداش داده شده."
این وبلاگ نشان می دهد که مهم ترین سپرده ثبت شده در قرارداد صندوق ورودی 168,000 ETH (نزدیک به 250 میلیون دلار) بوده است که مجموع سپرده ها در 24 ساعت از ~1000 تا ~5000 ETH متغیر است، که نشان دهنده وسعت احتمالی کشیدن فرش یا هک است.
سلب مسئولیت
تمام اطلاعات موجود در وب سایت ما با حسن نیت و فقط برای اهداف عمومی منتشر می شود. هر اقدامی که خواننده نسبت به اطلاعات موجود در وب سایت ما انجام می دهد ، کاملاً به خطر خود آنها است.
منبع: https://beincrypto.com/white-hat-hacker-saves-day-revealing-vulnerability-arbitrum/