Most Verus Ethereum okradziony po raz drugi

Kluczowe wnioski

Hakerzy wykorzystali błąd w protokole Verus–Ethereum, wykradając aktywa cyfrowe o wartości do 7,5 mln dolarów.
To drugi atak na ten sam kontrakt inteligentny w ciągu 66 dni, co podniosło łączne straty do 19,1 mln dolarów.
System poprawnie weryfikował podpisy kryptograficzne, ale zawiodła kontrola stanów oraz spójności bilansu rezerw.

Most łączący sieć Verus z Ethereum padł ofiarą drugiego ataku w ciągu zaledwie dwóch miesięcy. Napastnicy wykorzystali błąd w logice kontraktu inteligentnego, wyprowadzając z rezerw protokołu aktywa cyfrowe o wartości od 7,3 mln do 7,5 mln dolarów. Poprzednie uderzenie z 17 maja przyniosło straty sięgające 11,6 mln dolarów. Łączny bilans szkód wyrządzonych przez tę samą lukę przekroczył już 19,1 mln dolarów.

Do zdarzenia doszło w czwartek 23 lipca. Analitycy zauważyli, że system autoryzacji przepuścił nieuprawniony import danych po stronie Verus, który zawierał bezpodstawne żądanie wypłaty środków w sieci Ethereum.

Samo zabezpieczenie kryptograficzne zadziałało bez zarzutu. Kontrakt zweryfikował podpisy notarialne, korzenie stanu oraz dowody Merkle’a. System przegapił jednak elementarny krok – nie sprawdził, czy żądana kwota wypłaty ma pokrycie w aktywach rzeczywiście zablokowanych lub wyeksportowanych w sieci źródłowej.

Dla atakujących był to otwarty sejf.

Błędna logika w protokole Verus doprowadziła do drenażu rezerw

Firma badawcza Backward Labs opublikowała szczegółowy raport wskazujący, że bezpośrednią przyczyną incydentu było obejście autoryzacji oraz błędne założenia dotyczące stanu protokołu. Most zaakceptował sfałszowany import, który odblokował wypłaty z wieloaktywowej rezerwy. Zabrakło właściwej weryfikacji na wcześniejszych etapach procesu – od tworzenia transakcji, przez jej autoryzację i skrót transferu, aż po sprawdzenie zabezpieczenia ekonomicznego.

Identyczna podatność pozostawała niezałatana w kodzie przez 66 dni od pierwszego incydentu.

Lista skradzionych tokenów obejmuje Ether, tBTC, MKR, USDC, Tether, EURC oraz scrvUSD. W przypadku cyfrowego dolara DAI napastnicy poszli o krok dalej. Protokół nawiązał interakcję z pozycją zabezpieczenia w systemie Sky, co doprowadziło do bicia około 220 357 nowych tokenów DAI na potrzeby sfałszowanego żądania.

Narzędzia do monitorowania transakcji wdrożone przez firmy analityczne od razu zgłosiły ten ruch jako krytyczny alert bezpieczeństwa. Raporty jednoznacznie wskazały na nieuprawnioną manipulację stanem, wyemitowanie długu bez pokrycia i masowy odpływ płynności z rynku zdecentralizowanych finansów.

Wyzwania weryfikacji logiki biznesowej w mostach międzyłańcuchowych

Eksperci z Backward Labs przygotowali Proof-of-Concept pokazujący pełne naruszenie warunków bezpieczeństwa. Rezerwy mostu po stronie Ethereum powinny uwalniać środki wyłącznie wtedy, gdy transfer z łańcucha źródłowego przejdzie pełny, zweryfikowany cykl życia. W tym przypadku walidacja techniczna przebiegła pomyślnie, ale kontrola zasad biznesowych poniosła całkowitą porażkę.

Ten przypadek pokazał po raz kolejny, że sama poprawność dowodów kryptograficznych nie gwarantuje bezpieczeństwa architekturze DeFi. Jeśli kod nie sprawdza matematycznego bilansu aktywów wejściowych i wyjściowych, napastnicy znajdą sposób na obejście zabezpieczeń. Niezmienność transakcji w blockchainie sprawia, że raz wyprowadzone środki są niemal niemożliwe do odzyskania, a zespół projektu stoi teraz przed trudnym zadaniem ponownego napisania podstawowej logiki mostu.

Indeks Strachu i Chciwości

Błędna logika w protokole Verus doprowadziła do drenażu rezerw

Wyzwania weryfikacji logiki biznesowej w mostach międzyłańcuchowych

O autorze

Newsletter Bitcoin.pl