ข้อบกพร่องอายุ 3 ปีทำให้สูญเสีย 1.3 ล้านดอลลาร์และบังคับให้หยุดบล็อกเชนเป็นเวลา 10 วัน

การปรับโค้ด Radix อย่างเป็นกิจวัตรได้สร้างข้อบกพร่องในคลังที่ทำให้เกิดการโจรกรรมประมาณ 1.3 ล้านดอลลาร์และบังคับให้ผู้ตรวจสอบหยุดบล็อกเชน

มูลนิธิ Radix กล่าวเมื่อวันที่ 17 กันยายนว่า ทีมพัฒนาของ RDX Works ได้แนะนำข้อบกพร่องในระหว่างการทำความสะอาด Radix Engine ในเดือนมิถุนายน 2023 ซึ่งเป็นชั้นซอฟต์แวร์ที่ดำเนินการธุรกรรมและบังคับใช้การเป็นเจ้าของสินทรัพย์ทั่วทั้งเครือข่าย ข้อบกพร่องนี้ยังไม่ถูกตรวจพบเป็นเวลามากกว่าสามปีก่อนที่ผู้โจมตีจะใช้ประโยชน์จากมันในวันที่ 31 สิงหาคม

การสร้างบัญชีแยกประเภทใหม่จากชุมชนแสดงให้เห็นว่าผู้โจมตีถอนเงินประมาณ 458,915 USDC, 72,420 USDT, 61.08 ETH, 6.35 Bitcoin ที่ห่อหุ้ม, 536.16 SOL และ 32.91 BNB ผ่าน 26 ธุรกรรม สินทรัพย์เหล่านี้มีมูลค่าประมาณ 1.26 ล้านดอลลาร์ตามราคาตลาดในวันที่ 31 สิงหาคม และผู้โจมตีได้ถอน XRD อีก 13,000 จากคลังเพื่อจ่ายค่าธรรมเนียมธุรกรรม สเตเบิลคอยน์ทั้งสองตัวมีมูลค่าประมาณ 531,335 ดอลลาร์

สินทรัพย์ที่ถูกขโมยถูกส่งผ่าน Hyperlane ไปยัง Ethereum, BNB Chain และ Solana จากนั้นขายเป็น ETH มูลนิธิ Radix กล่าว Hyperlane เองทำงานตามที่ออกแบบไว้: ผู้โจมตีได้ทำการได้มาซึ่งสินทรัพย์ผ่าน Radix Engine ก่อนที่จะใช้สะพานเพื่อย้ายไปที่อื่น ไม่มีการเปิดเผยกุญแจส่วนตัว

อย่างไรก็ตาม การสูญเสียในทันทีนั้นต่ำกว่าความเสี่ยงที่อาจเกิดขึ้น มูลนิธิ Radix สรุปว่าข้อบกพร่องนี้สามารถใช้กับคลังใด ๆ ในเครือข่ายได้ ทำให้โทเค็นและสินทรัพย์อื่น ๆ นอกเหนือจากการถือครองที่ถูกสะพานซึ่งผู้โจมตีมุ่งเป้าไปนั้นมีความเสี่ยง

ดังนั้น ผู้ตรวจสอบเครือข่ายจึงตั้งใจที่จะนำสัดส่วนที่เพียงพอออกจากออนไลน์เพื่อป้องกันไม่ให้มันไปถึงฉันทามติและหยุดธุรกรรมเพิ่มเติมในขณะที่นักพัฒนาทำงานเพื่อแก้ไข

การตรวจสอบ Radix พลาดทำให้ข้อบกพร่องในการบำรุงรักษากลายเป็นความล้มเหลวเชิงระบบ

ข้อบกพร่องนี้ได้อยู่รอดจากการตรวจสอบความปลอดภัยอิสระก่อนที่ผู้โจมตีจะค้นพบ

Zellic ได้ตรวจสอบโปรโตคอล Radix ในปี 2024 รวมถึงเคอร์เนลของเอนจินที่มีข้อบกพร่อง การตรวจสอบไม่พบข้อบกพร่องในการอนุญาต แม้ว่าจะมีการแนะนำโค้ดที่มีช่องโหว่ในระหว่างการปรับโครงสร้างในปีที่แล้ว

ข้อบกพร่องนี้เปลี่ยนวิธีที่เอนจินจัดการการอ้างอิงคลัง ธุรกรรมสามารถระบุคลังของผู้ใช้คนอื่นโดยที่อยู่ภายในและส่งการอ้างอิงนั้นไปยังโค้ดสัญญาอัจฉริยะที่สร้างขึ้นเพื่อวัตถุประสงค์ เอนจินจึงอนุญาตให้ฟังก์ชันการถอนปกติถูกเรียกโดยไม่บังคับใช้ขอบเขตการเป็นเจ้าของที่ควรจะปฏิเสธคำขอ

สิ่งนี้ทำให้ผู้โจมตีเข้าถึงสินทรัพย์ที่ถือโดยบัญชีผู้ใช้ แอปพลิเคชัน และพูลสภาพคล่องโดยไม่ต้องได้รับลายเซ็นของเจ้าของ

มูลนิธิกล่าวว่าผู้โจมตีได้ทำธุรกรรมการโจมตี 26 รายการระหว่างเวลา 16:02 ถึง 16:57 UTC ในวันที่ 31 สิงหาคม เมื่อผู้ตรวจสอบกำหนดว่าข้อบกพร่องมีอยู่ในชั้นการดำเนินการแทนที่จะเป็นแอปพลิเคชันเดียว ผู้ตรวจสอบได้ประสานงานเพื่อหยุดการทำธุรกรรมให้เสร็จสิ้น

การหยุดชะงักใช้เวลามากกว่า 10 วัน การแก้ไขโปรโตคอลได้เพิ่มการตรวจสอบที่ป้องกันไม่ให้การอ้างอิงคลังที่ถูกจำกัดถูกใช้สำหรับการถอนปกติ และธุรกรรมของผู้ใช้กลับมาเริ่มต้นในวันที่ 11 กันยายน ตามการสร้างบัญชีแยกประเภทของชุมชน

เหตุการณ์นี้ยังสร้างการสูญเสียรองในพูลสภาพคล่องหลังจากที่ผู้โจมตีได้ลบสินทรัพย์ที่ถูกสะพานออกจากด้านหนึ่งของคู่การซื้อขาย ราคาที่บิดเบี้ยวทำให้บัญชีอื่นสามารถดึง XRD หลายล้านออกจากพูลที่ได้รับผลกระทบ แสดงให้เห็นว่าความล้มเหลวในชั้นการดำเนินการสามารถทำให้เกิดความเสียหายทางเศรษฐกิจต่อไปแม้หลังจากสินทรัพย์เริ่มออกจากเครือข่าย

มูลนิธิ Radix กล่าวว่ากำลังเพิ่มการทดสอบการถดถอย เสริมสร้างกระบวนการตรวจสอบความปลอดภัย และทำให้เป็นทางการขั้นตอนฉุกเฉินที่ผู้ตรวจสอบใช้เพื่อทำลายความมีชีวิตของเครือข่าย

มูลนิธิยังกล่าวว่าการทำงานด้านความปลอดภัยในอนาคตต้องคำนึงถึงเครื่องมือวิเคราะห์โค้ดที่ช่วยด้วย AI ที่มีความสามารถมากขึ้น ซึ่งเชื่อว่าอาจช่วยให้ผู้โจมตีระบุข้อบกพร่องที่มีอายุนานหลายปี

สำหรับนักพัฒนาและผู้ตรวจสอบ ความท้าทายถัดไปคือการป้องกันไม่ให้การบำรุงรักษาที่เป็นกิจวัตรคล้ายกันเปลี่ยนแปลงสมมติฐานด้านความปลอดภัยที่การตรวจสอบภายนอกอาจพลาดไป

งานนี้ขยายไปไกลกว่าการซ่อมแซมโค้ดที่ถูกโจมตี Radix ตอนนี้ต้องเสริมสร้างกระบวนการตรวจสอบรอบการเปลี่ยนแปลงในตรรกะการอนุญาตในขณะที่ฟื้นฟูความมั่นใจในหมู่ผู้ใช้และผู้ให้สภาพคล่องที่สินทรัพย์ของพวกเขาขึ้นอยู่กับเอนจินในการบังคับใช้ขอบเขตเหล่านั้นอย่างถูกต้อง

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ