La explotación del puente de Ankr drena $303,000 tras el uso repetido de depósitos en Optimism

Explotación del Puente entre Cadenas de Ethereum de Ankr

El puente entre cadenas de Ethereum de Ankr ha sufrido una explotación que involucró cinco retiros no autorizados, drenando más de $303,000 en activos criptográficos el 9 de noviembre. Este incidente plantea serias preguntas sobre el proceso de verificación de transacciones del puente.

La firma de seguridad blockchain Blockaid identificó el ataque el lunes, informando que un atacante utilizó un pequeño depósito en Optimism para retirar activos bloqueados en el puente de Ethereum de Ankr.

Su estimación inicial colocó las pérdidas en aproximadamente $292,000 a través de cinco transacciones, aunque un análisis posterior de los tokens retirados elevó su valor combinado por encima de $303,000.

Detalles del Ataque

Blockaid detectó una explotación en curso en Ethereum, donde un atacante envió cinco solicitudes de retiro en el puente entre cadenas de Ankr, utilizando un pequeño depósito en Optimism para desbloquear el inventario completo bloqueado del puente a una nueva billetera. La firma describió el incidente como una "explotación en curso", advirtiendo que el atacante había movido los activos del puente a una nueva billetera.

La cuenta de monitoreo en cadena Onchain Lens también señaló los retiros, informando una estimación de pérdida inicial similar. El ataque tuvo lugar entre las 3:09 a.m. y las 3:12 a.m., hora del Este, con cinco retiros exitosos enviando diferentes tokens a la misma billetera de destino.

Activos Afectados

Las transacciones involucraron los activos de staking líquido de Ankr junto con su token nativo, ANKR. Los registros de transacciones mostraron que el atacante retiró aproximadamente 82.91 ankrETH, valorados en $216,370, convirtiéndose en el componente más grande de las pérdidas reportadas. Otro retiro eliminó 515,206 tokens ankrPOL, valorados en $56,372, mientras que aproximadamente 7.98 millones de tokens ANKR representaron $30,857.

Otros dos activos, 5,372.25 aMATICb y 0.8196 aETHb, fueron transferidos durante el ataque. Sus valores no se incluyeron en la estimación de $303,600 porque Etherscan no mostró precios para ninguno de los tokens en el momento de la evaluación.

Proceso de Verificación y Seguridad

El puente entre cadenas de Ankr normalmente permite a los usuarios mover activos de staking líquido soportados entre redes blockchain. Un usuario deposita tokens en la red de origen antes de enviar la transacción para verificación a través del backend de Ankr, que proporciona la autorización necesaria para liberar activos en la red receptora.

Bajo este arreglo, un depósito completado no debería autorizar retiros repetidos para diferentes activos o montos. Sin embargo, las transacciones reportadas pasaron las verificaciones de autorización del puente, permitiendo al atacante retirar tokens del contrato de Ethereum.

La implementación del puente requiere aprobación de un firmante designado antes de procesar retiros. Aunque las cinco transacciones fueron aceptadas, los registros disponibles no establecen cómo el atacante obtuvo una autorización válida o si la debilidad involucró el proceso de firma, la validación del recibo u otro componente.

Consecuencias y Reacciones

El incidente ha dejado preguntas sobre la extensión de la brecha, particularmente si los contratos afectados comparten infraestructura con otros productos de Ankr. La compañía opera servicios de staking líquido y productos de infraestructura blockchain, incluidos servicios de llamada a procedimiento remoto (RPC) utilizados por aplicaciones para comunicarse con redes blockchain.

En el momento de la información, no había confirmación de que la explotación hubiera comprometido la infraestructura RPC de Ankr o las billeteras personales de los usuarios. Los retiros reportados concernían activos mantenidos en el contrato del puente de Ethereum afectado, aunque la compañía no había establecido públicamente el alcance completo del incidente.

Crypto.news se puso en contacto con Ankr para obtener comentarios, pero la compañía no había respondido al momento de la publicación.

Ankr enfrentó previamente un incidente de seguridad separado relacionado con su infraestructura de staking líquido. En agosto, una vulnerabilidad en su contrato ankrFLOW permitió a un atacante crear millones de tokens no respaldados, resultando en aproximadamente $410,000 en pérdidas para MORE Markets, como informó crypto.news.

Otros operadores de puentes han enfrentado problemas con la autorización de transacciones este año. En octubre, Cysic suspendió su puente después de que un atacante supuestamente explotara debilidades en el procesamiento para crear 10 millones de tokens CYS no autorizados en BNB Smart Chain. En agosto, un operador de puente XRPL reportó la pérdida de 198,715.88 XRP después de que atacantes explotaran una lógica defectuosa de detección de depósitos.