Napastnik wyciąga 200K XRP z mostu za pomocą fałszywego depozytu

9 sierpnia most łączący XRP Ledger i Coreum (obecnie przemianowany na tx) stracił blisko 200 000 XRP po tym, jak napastnik oszukał jego system sprawdzania depozytów, traktując transfer między portfelami jako prawdziwy depozyt.

Most został od tego czasu wstrzymany, a zarówno operator, jak i zewnętrzni badacze prześledzili awarię do oprogramowania po stronie Coreum, a nie do czegokolwiek na samym XRP Ledger.

Co się stało i jak rozeszła się wiadomość o alarmie

Pierwsze publiczne ostrzeżenie pochodziło od tradera występującego jako playa, który zwrócił uwagę, że konto XRPL mostu rxXXXeMX8Gy5YvibvGLnQJ1XKKD7UswM1 traci środki i wskazał na ustawienie DefaultRipple tego konta jako przyczynę.

Playa powiedział, że saldo spadło z 93 700 XRP do 77 200 XRP w ciągu kilku minut, co zostało odczytane z jedenastominutowego fragmentu, który okazał się dziewięćdziesięciominutowym odpływem.

Inny użytkownik, Vet, sprzeciwił się w tym samym wątku, pisząc, że „powodem jest to, że most coreum był aktywnie wykorzystywany”. Playa później się zgodził, pisząc: „Śpieszyłem się, gdy to opublikowałem i nie zbadałem tego dokładnie.”

Zespół tx potwierdził wykorzystanie w oświadczeniu, mówiąc, że jego oprogramowanie „nieprawidłowo rejestrowało transakcje, które nigdy nie dostarczyły żadnego XRP do mostu.”

Analiza techniczna od Rezy Bashasha wyjaśniła mechanizm: napastnik wysłał własny opakowany token mostu między dwoma swoimi portfelami, dołączył notatkę o depozycie mostu, a ponieważ token jest wydawany przez most, transfer pojawił się w jego historii i został odczytany jako prawdziwy depozyt.

Relayerzy zatwierdzili to, niewspierane aktywa zostały wyemitowane po stronie Coreum, a napastnik wypłacił prawdziwe XRP w zamian za nie. Bashash oszacował całkowitą kwotę na 198,715.88 XRP, przeliczone na ETH, przekierowane przez THORChain i ostatecznie wysłane do Tornado Cash.

Transakcja mówi, że luka została zidentyfikowana, most pozostaje wstrzymany, a raport został złożony w Centrum Skarg na Przestępstwa Internetowe FBI. Żadne inne aktywa mostowe nie zostały dotknięte, a operator mówi, że plan rekompensaty dla użytkowników jest wciąż opracowywany.

Głębsze spojrzenie i rynek już pod presją

Późniejszy przegląd on-chain wykazał tę samą przyczynę źródłową z innej perspektywy: 21 oddzielnych relayerów Coreum potwierdziło ten sam fantomowy depozyt, pozwalając napastnikowi na emisję aktywów mostu bez żadnego zabezpieczenia, a następnie powtórzyli ten trik z rosnącymi kwotami przed wypłatą.

Każda wypłata, która nastąpiła na XRPL Ledger, miała ważny podpis wieloosobowy od własnego kworum relayerów mostu, dlatego wyjaśnienie DefaultRipple nie wytrzymało, gdy dane transakcji zostały sprawdzone. Rodzime XRP nie ma linii zaufania, aby poruszać się w pierwszej kolejności, a flaga dotyczy tylko tokenów wydawanych przez most.

Eksploatacja miała miejsce, gdy XRP już spadał. Token znajduje się blisko 1,02 USD, blisko 21-miesięcznego minimum, spadając o około 4,4% w tym tygodniu, gdy Bitcoin spadł do około 64 000 USD, a szerszy rynek kryptowalut stracił około 40 miliardów USD w ciągu jednego dnia.

Źródło: CryptoPotato