Foram necessários sete dias inteiros para que alguém percebesse que US$ 4.67 milhões haviam desaparecido da ponte Axelar para a Rede Secreta.
O esvaziamento ocorreu em 10 de junho e ninguém de nenhum dos lados percebeu até 17 de junho, quando uma transferência rotineira entre blockchains falhou e alguém foi verificar o saldo da conta de garantia (escrow) no lado da Axelar. A conta estava vazia. Como a Secret Network é construída em torno de um design de privacidade por padrão, onde o estado do contrato e os detalhes da transação são protegidos da visualização pública, os rastros na blockchain que normalmente alertam os pesquisadores de segurança em minutos simplesmente não apareceram.
Isso deu ao atacante uma semana inteira de folga enquanto os fundos eram transferidos discretamente. O comitê de emergência de Axelar desativou as conexões Secret e Secret-SNIP, mas o dinheiro já sumiu.
Um inseto de menta infinita, envolto em um contrato personalizado.
A vulnerabilidade residia em um contrato CW20-ICS20 modificado no lado Secret da ponte, que é o trecho de código responsável por lidar com os ativos recebidos via Cosmos IBC e gerar versões encapsuladas em Secret desses ativos. Essas versões encapsuladas são os saTokens que os usuários de DeFi na Secret de fato detêm e negociam. O agressor é acusado de fazer algo elegantemente simples: criar sua própria blockchain Cosmos com um único validador, abrir um novo canal IBC diretamente para o contrato da ponte Secret e, em seguida, retransmitir pacotes falsificados que continham valores de tokens correspondentes à lista de permissões do contrato. O contrato verificava qual valor estava sendo recebido. Ele não verificava de qual canal esse valor deveria estar vindo.
A única verificação que faltou é toda a história. Como o contrato saToken confiava em qualquer pacote IBC formatado corretamente e com valor conhecido, o atacante pôde cunhar do nada saUSDT, saUSDC, saDAI, saWETH, saWBTC, saWBNB e sawstETH com aparência de lastro completo. Esses saTokens recém-cunhados foram então resgatados pelo canal IBC legítimo da Axelar, que liberou diligentemente os ativos reais em custódia depositados na Axelar. A Secret Chain não detectou nada de incomum porque a cunhagem era tecnicamente válida. A Axelar Chain também não detectou nada de incomum porque os resgates eram tecnicamente válidos. Apenas os cálculos na conta de custódia apresentaram discrepâncias, e ninguém estava verificando isso.
Uma reformulação personalizada que nunca foi auditada externamente.
Investigadores do lado secreto afirmam que o contrato-ponte foi adaptado de um modelo de garantia padrão para um modelo de cunhagem quando a integração com a Axelar foi implementada, e durante essa reformulação, duas funções de validação que teriam detectado exatamente esse tipo de ataque de canal forjado foram... removido do códigoAxelar supostamente nunca solicitou uma auditoria externa antes de ativar a conexão. Um código de ponte personalizado, com suas verificações de segurança removidas, foi implantado sem uma nova auditoria em uma blockchain onde terceiros não podem monitorar facilmente o estado do contrato. Essa é, provavelmente, a pior combinação de fatores que um pesquisador de segurança poderia imaginar. A exploração em si era quase trivial depois de entender como o contrato estava estruturado. O fato de ninguém tê-la detectado por uma semana é o que deveria preocupar todas as equipes que executam um fork do CW20-ICS20.
AXL sobe 5%, detentores de ações Secret menos satisfeitos.
O comitê de emergência da Axelar confirmou que o restante da rede Axelar está funcionando normalmente e que o ataque ficou isolado à conexão com a Secret. As corretoras e as autoridades policiais já foram notificadas e a investigação continua em andamento nesta semana. Curiosamente, o AXL subiu cerca de 5% desde que a notícia foi divulgada, possivelmente porque o mercado interpretou a rápida paralisação como prova de que os procedimentos de emergência funcionam conforme o prometido. Já o SCRT da Secret Network está tendo uma semana menos comemorativa. Os detentores que usavam a ponte agora aguardam para ver se a comunidade Secret decide distribuir o prejuízo entre os fundos de tesouraria ou de staking, e se a Axelar contribuirá com alguma parte da recuperação.
As pontes continuam a ruir da mesma maneira.
Se você acompanha a segurança das criptomoedas há algum tempo, já viu esse filme antes: uma versão modificada de um contrato padrão com algumas verificações de segurança removidas discretamente, sem auditoria externa e um atacante astuto que lê o código do contrato mais rápido do que os responsáveis pela implementação jamais conseguiram. O que é realmente novo aqui é o papel que a privacidade desempenhou nessa cronologia. A mesma opacidade on-chain que torna a Secret Network atraente para usuários que desejam saldos protegidos também cegou a comunidade de segurança em geral para o fato de que um desvio de fundos já estava em andamento há uma semana inteira. Há uma discussão importante a ser feita sobre como as blockchains de privacidade implementam monitoramento fora da banda para que o próximo incidente seja detectado em horas, em vez de dias. Por enquanto, os usuários da ponte perderam cerca de quatro milhões e meio de dólares, e outra integração está sendo desfeita às pressas.
---------------
Autor: Dorian Fenwick
Silicon Redação Vale
Quebrando Crypto News
Sem comentários
Postar um comentário