Un bug di tre anni provoca un drenaggio di 1,3 milioni di dollari e costringe a un'interruzione della blockchain di 10 giorni

Un rifacimento del codice di routine di Radix ha creato un difetto nel vault che ha consentito un furto di circa 1,3 milioni di dollari e successivamente ha costretto i validatori a fermare la blockchain.

La Radix Foundation ha dichiarato il 17 settembre che un team di sviluppo di RDX Works ha introdotto il difetto durante una pulizia del giugno 2023 del Radix Engine, il livello software che esegue le transazioni e applica la proprietà degli asset attraverso la rete. La vulnerabilità è rimasta non rilevata per oltre tre anni prima che un attaccante la sfruttasse il 31 agosto.

Una ricostruzione della comunità del libro mastro mostra che l'attaccante ha ritirato circa 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 Bitcoin avvolti, 536,16 SOL e 32,91 BNB attraverso 26 transazioni. Gli asset valevano circa 1,26 milioni di dollari utilizzando i prezzi di mercato del 31 agosto, e gli attaccanti hanno prelevato altri 13.000 XRD da un vault per pagare le commissioni di transazione. Le due stablecoin da sole rappresentavano circa 531.335 dollari.

Gli asset rubati sono stati inviati tramite Hyperlane a Ethereum, BNB Chain e Solana, quindi venduti per ETH, ha dichiarato Radix. Hyperlane stesso ha funzionato come previsto: l'attaccante aveva già ottenuto gli asset tramite il Radix Engine prima di utilizzare il ponte per spostarli altrove. Nessuna chiave privata è stata compromessa.

Tuttavia, la perdita immediata sottovalutava l'esposizione potenziale. Gli investigatori di Radix hanno concluso che il difetto avrebbe potuto essere utilizzato contro qualsiasi vault sulla rete, mettendo a rischio token e altri asset oltre le partecipazioni collegate che l'attaccante aveva preso di mira.

Di conseguenza, i validatori della rete hanno deliberatamente preso offline abbastanza stake per impedire che raggiungesse il consenso e fermare ulteriori transazioni mentre gli sviluppatori lavoravano a una soluzione.

L'audit di Radix non rileva il bug di manutenzione trasformando il difetto in un fallimento sistemico

La vulnerabilità era già sopravvissuta a una revisione della sicurezza indipendente prima che l'attaccante la trovasse.

Zellic ha eseguito un audit del protocollo Radix nel 2024, incluso il kernel del motore contenente il difetto. La revisione non ha rilevato il difetto di autorizzazione, anche se il codice vulnerabile era stato introdotto durante il rifacimento dell'anno precedente.

Il bug ha cambiato il modo in cui il motore gestiva i riferimenti ai vault. Una transazione poteva identificare il vault di un altro utente tramite il suo indirizzo interno e passare quel riferimento nel codice del contratto intelligente appositamente progettato. Il motore ha quindi consentito che le funzioni di prelievo ordinarie venissero chiamate senza applicare correttamente il confine di proprietà che avrebbe dovuto rifiutare la richiesta.

Ciò ha dato all'attaccante accesso agli asset detenuti da account utente, applicazioni e pool di liquidità senza ottenere le firme dei proprietari.

La Fondazione ha dichiarato che l'attaccante ha completato 26 transazioni di sfruttamento tra le 16:02 e le 16:57 UTC del 31 agosto. Una volta che gli investigatori hanno determinato che la vulnerabilità esisteva nel livello di esecuzione piuttosto che in una singola applicazione, i validatori si sono coordinati per fermare la finalizzazione delle transazioni.

L'interruzione è durata più di 10 giorni. Una correzione del protocollo ha aggiunto controlli per impedire che un riferimento a un vault ristretto fosse utilizzato per un prelievo ordinario, e le transazioni degli utenti sono riprese il 11 settembre, secondo la ricostruzione del libro mastro della comunità.

L'incidente ha anche prodotto perdite secondarie nei pool di liquidità dopo che l'attaccante ha rimosso asset collegati da un lato delle coppie di trading. I prezzi distorti hanno consentito a un altro account di estrarre milioni di XRD dai pool interessati, mostrando come un fallimento del livello di esecuzione possa continuare a causare danni economici anche dopo che gli asset iniziali hanno lasciato la rete.

Radix ha dichiarato che sta aggiungendo test di regressione, rafforzando il suo processo di revisione della sicurezza e formalizzando la procedura di emergenza utilizzata dai validatori per interrompere la vitalità della rete.

La Fondazione ha anche affermato che i futuri lavori di sicurezza devono tenere conto di strumenti di analisi del codice assistiti da AI sempre più capaci, che crede possano aver aiutato l'attaccante a identificare il difetto vecchio di anni.

Per sviluppatori e validatori, la prossima sfida è prevenire che lavori di manutenzione altrettanto routinari alterino silenziosamente le assunzioni di sicurezza che le revisioni esterne potrebbero perdere.

Questo compito si estende oltre la riparazione del codice sfruttato. Radix deve ora rafforzare il processo di revisione attorno alle modifiche alla logica di autorizzazione mentre ripristina la fiducia tra gli utenti e i fornitori di liquidità i cui asset dipendono infine dall'applicazione corretta di quei confini.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.