Un exploit care a dus la minting-ul a 1 miliard de tokenuri wrapped Polkadot (DOT) la începutul acestei săptămâni este chiar mai grav decât s-a raportat inițial, potrivit echipei din spatele Hyperbridge. 

Ceea ce inițial se credea că se ridică la 237.000 de dolari în pierderi de tokenuri legate de bridge-ul Polkadot-Ethereum este de fapt mai aproape de 2,5 milioane de dolari – o creștere de peste 10 ori față de raportul inițial. 

„Un atacator a exploatat o vulnerabilitate în logica de verificare a dovezilor Merkle Mountain Range (MMR), permițând infractorului să mint tokenuri și să golească activele escrow-ate pe Token Gateway”, a postat echipa într-un postmortem de joi. 

„Estimarea noastră publică inițială a pierderii realizate a fost de aproximativ 237.000 de dolari, bazată pe vânzarea imediat observabilă de DOT bridge-uite pe Ethereum”, au adăugat aceștia. „Această cifră nu a surprins întreaga imagine, am aflat ulterior.”

Pe lângă pierderile observabile de 237.000 de dolari, un contract inteligent a fost exploatat pentru 245 ETH sau aproximativ 561.000 de dolari cu ore înainte de minting-urile malițioase de tokenuri DOT. În plus, trei blockchain-uri conectate—Base, Arbitrum și BNB Chain—au fost, de asemenea, afectate, contrazicând raportul inițial al echipei conform căruia doar wrapped DOT pe Ethereum a fost afectat. 

„În urma reconcilierii activității atacatorului pe fiecare dintre cele patru lanțuri, a naturii în două faze a atacului și a pierderilor din pool-urile de stimulare asociate, pierderea totală realizată revizuită este de aproximativ 2,5 milioane de dolari, denominată în ETH și DOT la momentul exploit-ului”, a scris acesta.

Fondurile furate au fost urmărite la o adresă de depozit pe Binance, iar firma a implicat echipa de conformitate a exchange-ului centralizat și forțele de ordine relevante într-o încercare de a îngheța și recupera activele furate – dar nu se așteaptă la o rezolvare rapidă. 

„Urmărim toate canalele disponibile, dar termenul realist pentru o recuperare semnificativă într-un caz de acest tip se măsoară în luni și se poate extinde până la un an”, a adăugat. 

Deși scopul său este de a compensa toți utilizatorii afectați, rambursând fondurile compromise, protocolul a indicat că este „angajat într-o alocare structurată de tokenuri BRIDGE pentru a acoperi pierderea reziduală”, în cazul în care nu ar putea face acest lucru. 

Însă BRIDGE, tokenul său nativ de protocol, menține volume extrem de scăzute, tranzacționându-se ultima dată la 1.800 de dolari în 24 de ore, când a fost schimbat pentru aproximativ 0,006 dolari pe 29 martie, conform datelor de la CoinGecko. La acel preț, tokenul avea o capitalizare de piață de aproximativ 858.000 de dolari, aproximativ o treime din pierderile totale cauzate de exploitul său. 

Funcționalitatea de bridging pe cele patru blockchain-uri afectate rămâne întreruptă și va fi reluată doar după ce o actualizare va fi implementată și auditată. 

„Acest lucru nu ne schimbă convingerea că interoperabilitatea cross-chain este sigură doar prin dovezi criptografice”, a scris echipa protocolului. 

„Ceea ce acest exploit a clarificat, într-un mod costisitor, este că logica de verificare necesită audituri mai frecvente și testare adversară la fiecare nivel al stivei”, a adăugat acesta. „Acesta este standardul sub care va opera Token Gateway pe viitor.”