L'exploit del ponte Ankr prosciuga $303K dopo il riutilizzo di un deposito su Optimism

Exploit del Ponte Cross-Chain di Ankr

Il ponte cross-chain Ethereum di Ankr ha subito un exploit che ha comportato cinque prelievi non autorizzati, prosciugando oltre $303.000 in asset crittografici il 9 novembre. Questo evento ha sollevato interrogativi sul processo di verifica delle transazioni del ponte.

Dettagli dell'Attacco

La società di sicurezza blockchain Blockaid ha identificato l'attacco, riportando che un attaccante ha utilizzato un piccolo deposito su Optimism per prelevare asset bloccati nel ponte Ethereum di Ankr. La stima iniziale delle perdite era di circa $292.000 attraverso cinque transazioni, ma un'analisi successiva ha rivelato un valore combinato superiore a $303.000.

"Blockaid ha segnalato un exploit in corso su Ethereum, in cui un attaccante ha inviato cinque richieste di prelievo sul ponte cross-chain di Ankr, utilizzando un piccolo deposito su Optimism per sbloccare l'intero inventario bloccato del ponte a un nuovo wallet."

Dettagli delle Transazioni

L'attacco si è verificato tra le 3:09 e le 3:12 ora orientale, con cinque prelievi riusciti che hanno inviato diversi token allo stesso wallet di destinazione. Le transazioni hanno coinvolto gli asset di liquid staking di Ankr insieme al suo token nativo ANKR.

I registri delle transazioni hanno mostrato che l'attaccante ha prelevato circa 82.91 ankrETH, del valore di $216.370, rendendolo il componente più significativo delle perdite segnalate. Altri prelievi hanno incluso:

• 515.206 token ankrPOL, valutati $56.372
• Circa 7.98 milioni di token ANKR, rappresentanti $30.857
• Altri due asset, 5.372,25 aMATICb e 0.8196 aETHb, il cui valore non è stato incluso nella stima di $303.600.

Meccanismo di Prelievo e Vulnerabilità

Il ponte cross-chain di Ankr consente normalmente agli utenti di spostare asset di liquid staking supportati tra le reti blockchain. Tuttavia, le transazioni segnalate hanno superato i controlli di autorizzazione del ponte, consentendo all'attaccante di prelevare token dal contratto Ethereum.

Ogni richiesta di prelievo conteneva informazioni di ricevuta modificate, identificando un destinatario diverso e importi di prelievo maggiori. L'implementazione del ponte richiede l'approvazione di un firmatario designato prima di elaborare i prelievi, ma non è chiaro come l'attaccante abbia ottenuto un'autorizzazione valida.

Implicazioni e Risposta di Ankr

L'incidente ha sollevato interrogativi sull'estensione della violazione, in particolare se i contratti interessati condividano infrastrutture con altri prodotti di Ankr. Al momento della segnalazione, non c'era conferma che l'exploit avesse compromesso l'infrastruttura RPC di Ankr o i portafogli personali degli utenti.

Crypto.news ha contattato Ankr per commenti, ma l'azienda non aveva risposto entro il termine di pubblicazione. Ankr aveva precedentemente affrontato un incidente di sicurezza separato riguardante la sua infrastruttura di liquid staking.

Conclusioni

Questo exploit evidenzia le vulnerabilità nei sistemi di autorizzazione delle transazioni nei ponti cross-chain. Altri operatori di ponte hanno affrontato problemi simili quest'anno, sottolineando la necessità di miglioramenti nella sicurezza e nella verifica delle transazioni.