Кіберзлочинці викрали $100 млн у крипті, скориставшись слабкою ланкою
Хакери викрали близько 100 мільйонів доларів з так званого криптовалютного мосту, знову виявивши ключову вразливість в екосистемі цифрових активів.
Blockchain Harmony повідомила у твіті, що злом її мосту Horizon, який дозволяє людям обмінюватися монетами між різними блокчейнами, відбувся в четвер 23 червня вранці. Компанія «почала співпрацю з національними органами влади та експертами-криміналістами для встановлення винного та вилучення викрадених коштів».
Більша частина криптовалютного світу розділена на одиниці-ємності сайлоси: мережі Bitcoin та Ethereum, наприклад, можуть працювати лише за допомогою токенів Bitcoin та Ethereum. Оскільки все більше криптовалют набуває популярності, а трейдери вимагають можливості безперебійно взаємодіяти один з одним, такі проєкти, як Harmony, розробляють платформи, відомі як мости, які можуть приймати різноманітні токени та плавно переміщувати їх між блокчейнами.
Але мости особливо вразливі до зламу, оскільки їхня технологія є складною і часто ними керують анонімні команди. Як вони зберігають кошти, часто неясно. Витончені хакери неодноразово наражалися на них, інформує Bloomberg.
За даними CoinGecko, рідний токен Harmony ONE, який використовується для оплати транзакцій, отримання винагород або голосування за зміни на платформі, впав на 12% за 24 червня. Згідно з його веб-сайтом, загальна вартість блокчейна Harmony, що лежить в основі проєкту, перевищує 1 мільярд доларів.
Не відразу було зрозуміло, чи були вкрадені кошти користувачів.
«Компроміс приватного ключа»
Атака на Horizon, яка пропонує перехресні перекази між Ethereum і Smart Chain Binance, знаменує собою третій серйозний злам цього року. У лютому хакери вкрали понад 300 мільйонів доларів з мосту Wormhole, а через місяць – 620 мільйонів доларів США з мосту Роніна.
Ще до зламу Horizon з мостів було вкрадено понад 1 мільярд доларів, підрахував дослідник Chainalysis.
У випадку Horizon «крадіжка, схоже, сталася через компроміс приватного ключа», — сказав Цюсянь Цзян, головний виконавчий директор охоронної фірми PeckShield, з якою звернулася Harmony за підтримкою. Компанія не відразу відповіла на прохання про коментар.
Мост Horizon керується і захищається чотирма гаманцями, сказав Цзян, і для перевірки та виконання транзакції потрібна аутентифікація принаймні двох гаманців, кожен із яких підтримується кількома підписами. У цьому випадку зловмисник зміг зламати приватну інформацію, необхідну для доступу до цих гаманців, а потім запустити транзакції, які вилучали активи з мосту Horizon на зовнішній гаманець, сказав Цзян.
Хакери вкрали криптовалюти, включаючи Ether і BNB, а також стейблкоіни Tether, USDC і DAI, повідомив дослідник Elliptic у твіттері. Потім ці токени були замінені на Ether за допомогою так званих децентралізованих бірж, що Elliptic назвав «поширеною технікою з цими хаками».
Ronin Hack
Horizon використовує механізм безпеки, схожий на той, який використовується в мосту Ronin, пов’язаному з популярною блокчейн грою Axie Infinity, яка вимагала п’яти з дев’яти валідаторів, необхідних для підписання під час злому. Згідно з його веб-сайтом, Harmony популярна для блокчейн-ігор, таких як Mars Colony і DeFi Kingdoms.
Після атаки на Ronin, яка була приписана до північнокорейській хакерській групі, власник Sky Mavis різко збільшив кількість валідаторів, необхідних для підписання транзакцій, пообіцявши зрештою збільшити її до понад 100.
Атака в четвер 23 червня на міст Horizon сталася після експлойту, пов’язаного з п’ятьма користувальницькими гаманцями в мережі Harmony в січні, коли компанія заявила, що злодій вилучив 19 314 598 токенів ONE, що на той момент коштували приблизно 5,8 мільйона доларів.
Обсяг грошей, заблокованих на мостах, підключених до блокчейну Ethereum, знизився на 60% за останні 30 днів до менше ніж 12 мільярдів доларів на кожного трекера Dune, викликаний ширшим падінням ринку криптовалют і проблемами ліквідності, пов’язаними з кількома великими криптовалютними гравцями, включаючи Celsius Network, Babel. Фінанси, Three Arrows Capital і Voyager Digital.
