24 июня мост Horizon, соединяющий Harmony — блокчейн PoS уровня 1, созданный для нативного токена ONE, — с экосистемой Ethereum и Binance Chain, был взломан, что привело к потере примерно 100 млн долларов в ETH. Об эксплойте сообщила в Твиттере команда Harmony, которая заявила, что охотится за виновником.
Последняя из серии уязвимостей
1/ Команда Harmony выявила кражу, произошедшую сегодня утром на мосту Горизонт, на сумму прибл. 100 миллионов долларов. Мы начали работать с национальными властями и судебно-медицинскими экспертами, чтобы установить преступника и вернуть украденные средства.
Дополнительно
— Гармония (@harmonyprotocol) 23 июня 2022 г.
С тех пор мост был закрыт, чтобы предотвратить дальнейшие потери. Разработчики Harmony также уточнили, что мост BTC не затронут.
Похоже, атака происходила в течение 17 часов, начиная с транзакции на колоссальные 4919 ETH, за которыми последовало несколько меньших транзакций на сумму от 911 до 0,0003 ETH. Последнее произошло после закрытия моста.
Этот взлом является последним в серии эксплойтов, влияющих на криптопространство, таких как утечка Axie Infinity, Solana Wormhole или, совсем недавно, (неуместное) фиаско Optimism. Еще одна недавняя уязвимость, эксплойт Demonic, который затронул несколько криптокошельков, был исправлен до того, как можно было нанести какой-либо ущерб.
Сообщается, что биржи были уведомлены, а также «национальные власти и судебно-медицинские эксперты». К сожалению для Harmony, первое может не помочь в случае, если личность хакера будет раскрыта, в зависимости от юрисдикции, в которой может находиться хакер.
«Мы также уведомили биржи и остановили мост Horizon, чтобы предотвратить дальнейшие транзакции. Команда всецело занята расследованием. Мы будем держать всех в курсе по мере дальнейшего расследования и получения дополнительной информации».
Предварительное предупреждение независимых исследователей
Любопытно, что 2 апреля независимый исследователь и разработчик блокчейна Ape Dev выпустил предупреждение. В серии твитов Ape Dev обратил внимание на тот факт, что безопасность Harmony Bridge была построена вокруг мультиподписного кошелька, владельцами которого всего четыре человека. Он предположил, что это можно использовать для проведения очень простой атаки, заставив двух владельцев подписать переводы на сумму до 330 млн долларов.
С тех пор его талант сыщика был признан Бренданом Эйхом, генеральным директором и соучредителем Brave.
https://t.co/MCi4MXJuge
— Апе Дев (@_apedev), 24 июня 2022 г.
Неясно, получил ли злоумышленник Harmony идею от указания Ape Dev или пришел к такому же выводу самостоятельно. Однако в любом случае предупреждение поступило почти за три месяца до несчастного случая, что должно было дать разработчикам Harmony достаточно времени для обеспечения безопасности своих систем.
Поскольку кибератаки становятся все более и более распространенными в криптопространстве, стандарты безопасности различных платформ на основе блокчейна, вероятно, будут все чаще и чаще подвергаться тщательному анализу со стороны третьих лиц, и это правильно.
