Analiza ataku na most Verus przez CertiK

CertiK opublikował analizę ataku na most międzyłańcuchowy Verus w dniu 23 lipca. Analiza pokazuje, że atak wynikał z różnic w interpretacji danych notarialnych między Verus a Ethereum. Napastnicy wprowadzili wiele złośliwych powtarzających się wpisów stanu w legalnych transakcjach notarialnych, które po normalnym podpisaniu przez 11 węzłów notarialnych Verus zostały przekazane do Ethereum. Po stronie Verus zserializowane dane stanu zostały wstawione do tabeli mapowania, podczas gdy po stronie Ethereum podczas deserializacji przeszukiwano wszystkie wpisy proofRoots w kolejności, co spowodowało, że później przesłane złośliwe wpisy stanu nadpisały legalny stan, a stan kontrolowany przez napastników został ostatecznie zaakceptowany przez Ethereum jako zaufany punkt kontrolny. Napastnicy na łańcuchu Verus zainicjowali żądanie eksportu międzyłańcuchowego 0,01 VRSC przez Bridge.vETH, a następnie sfałszowali kluczowe pola w dowodzie importu po stronie Ethereum, aby pasowały do hasha rzeczywiście przenoszonych aktywów. CertiK zauważył, że kontrakt mostu Verus na Ethereum ma lukę logiczną, ponieważ nie weryfikuje, czy kwota płatności określona w żądaniu importu odpowiada rzeczywistej kwocie eksportu, co pozwoliło na przejście sfałszowanego dowodu weryfikacji i ostatecznie upoważniło do wypłaty przekraczającej rzeczywistą kwotę wypłaty. Po udanym ataku napastnicy wymienili skradzione aktywa na 2778,8662 ETH za pośrednictwem Relay i przelali je do Tornado Cash.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.