Hacker wyprowadził 320 mln USD z protokołu Wormhole

Wormhole, protokół, który pozwala użytkownikom przenieść swoje kryptowaluty i tokeny NFT między sieciami Solana i Ethereum, potwierdził, że padł ofiarą ataku hakerskiego. W efekcie z protokołu wyprowadzono wETH o wartości ponad 320 mln USD. To o 250 mln USD więcej, niż początkowo podejrzewano.

W środę na twitterowym koncie Wormhole pojawił się wpis informujący o tym, że sieć jest „wyłączona w celu konserwacji” z powodu „potencjalnego błędu”. Samczsun, analityk bezpieczeństwa z Paradigm, zwrócił jednak uwagę, że potencjalny atak hakerski niestety jest rzeczywistością.

Wormhole chce przekonać hakera do zwrotu środków

Na blockchainie Ethereum pojawiła się wiadomość, której autorstwo jest przypisywane operatorom Wormhole: „Zauważyliśmy, że udało ci się wykorzystać weryfikację Solana VAA i wybić tokeny. Chcielibyśmy zaoferować umowę etycznego hakera i wypłacić nagrodę w wysokości 10 mln USD za przekazanie szczegółów przeprowadzonego ataku oraz zwrot wybitych tokenów wETH”. VAA to skrót od „validator action approval” i odnosi się do procesu zatwierdzania transakcji.

Wiadomość oznacza, że protokół Wormhole nieśmiało zakłada, że haker działał w dobrej wierze. W zamian za wskazanie luki w zabezpieczeniach oferuje 10 mln USD, chce jednak odzyskać wyprowadzone tokeny.

Napastnik mógł obejść wymagane zabezpieczenia

Oprócz połączenia sieci Ethereum i Solana, Wormhole współpracuje również z Avalanche, Binance Smart Chain, Oasis, Polygon i Terra. Pozwala to użytkownikom jednego łańcucha przenosić aktywa i korzystać z nich w innym łańcuchu, często po to, aby mogli uzyskać niższe opłaty lub różne zastosowania w zależności od sieci.

Aby jednak wprowadzić swoje ETH do sieci Solana, muszą najpierw zablokować je w inteligentnym kontrakcie, a następnie uzyskać równoważną kwotę w wETH. Później mogą wymienić wETH na tokeny oparte na Solanie. Jeśli powyższa wiadomość dokładnie oddaje to, co się wydarzyło, haker był w stanie obejść ten wymóg i wybił wETH bez wcześniejszego blokowania ETH w inteligentnym kontrakcie.