Harmony's Cross-Chain Bridge misbruikt voor $ 100 miljoen

Het Harmony-team heeft bevestigd dat de Horizon-brug voor ongeveer $ 100 miljoen in verschillende tokens is uitgebuit.

Harmony Bridge-hit voor $ 100 miljoen

Harmony, een EVM-compatibele Proof-of-Stake-blockchain, heeft zijn Horizon cross-chain bridge misbruikt bij een grote inbreuk op de beveiliging.

1/ Het Harmony-team heeft vanmorgen een diefstal vastgesteld op de Horizon-brug voor een bedrag van ca. $ 100MM. We zijn begonnen samen te werken met nationale autoriteiten en forensische specialisten om de dader te identificeren en het gestolen geld terug te krijgen.

Meer ?

— Harmonie? (@harmonieprotocol) 23 June 2022

Het Harmony-team bevestigde in een Twitter-bericht van vrijdagochtend dat Horizon, de brug die het Harmony-netwerk verbindt met BNB Chain en Ethereum, voor ongeveer $ 100 miljoen in verschillende tokens is uitgebuit. “Het Harmony-team heeft vanmorgen een diefstal vastgesteld op de Horizon-brug voor een bedrag van ongeveer. $ 100 MM”, aldus een bericht van het officiële Harmony Twitter-account, eraan toevoegend dat het al samenwerkt met nationale autoriteiten en forensische experts om de aanvaller te identificeren en mogelijk het gestolen geld terug te krijgen.

Volgens gegevens op de keten begon de exploit op donderdag rond 12:02 UTC en duurde ongeveer 15 uur. De aanvaller voerde 16 kwaadaardige transacties van verschillende groottes uit, variërend van 14,190 tot 30 ETH voordat het Harmony-team de aanval opmerkte en de Horizon-brug stopte om verdere kwaadaardige transacties te voorkomen. Na het stelen van verschillende tokens ter waarde van $ 100 miljoen, waaronder Frax, Frax Shares, ingepakte Ethereum, ingepakte Bitcoin, Aave, Sushi, Tether en Binance USD, stuurde de aanvaller ze naar verschillende portemonnees, ruilde ze voor Ethereum op de gedecentraliseerde uitwisseling Uniswap, en vervolgens het gestolen geld terug naar de oorspronkelijke portemonnee.

Ongewoon voor dit soort exploits, heeft de aanvaller nog niet geprobeerd het gestolen geld te anonimiseren via een privacy-protocol zoals TornadoCash. In een follow-up Tweet verklaarde het Harmony-team dat het samenwerkt met het Federal Bureau of Investigation en meerdere cyberbeveiligingsbedrijven om de aanvaller te volgen en te identificeren. De betrokkenheid van de Amerikaanse autoriteiten betekent dat het mogelijk is dat het Office of Foreign Assets Control de portemonnee van de aanvaller toevoegt aan zijn gesanctioneerde adressen blacklist, waardoor het effectief wordt uitgeschakeld van het witwassen van het gestolen geld via Tornado Cash.

Hoewel Harmony nog geen specifieke details heeft gedeeld over hoe de exploit plaatsvond, hebben blockchain-beveiligingsexperts gespeculeerd dat de aanvaller waarschijnlijk toegang heeft gekregen tot ten minste twee van de vijf privésleutels van de portemonnee met meerdere handtekeningen die de slimme Horizon-bridge-contracten beheert. Deze aanvalsvector was al gemarkeerd in april door Ape Dev, de pseudonieme oprichter van de crypto-gerichte onderneming Chainstride Capital. Ze zeiden dat ze de Harmony-brug op Ethereum hadden onderzocht en ontdekten dat "als twee van de vier multisig-ondertekenaars worden gecompromitteerd, we nog een hack met 9 cijfers zullen zien", wat precies lijkt te zijn wat gisteren gebeurde.

Mudit Gupta, de chief information security officer bij Polygon, commentaar dat dit geen "blockchain-hack" was, maar een "traditionele hack", en speculeerde dat de aanvaller waarschijnlijk de servers had gecompromitteerd die de sleutels van Horizon's multi-signature portemonnee hosten. "Eenmaal binnen in de server hadden ze toegang tot de sleutels die in leesbare tekst werden bewaard voor het ondertekenen van legitieme transacties", zei hij, eraan toevoegend dat de exploit "griezelig vergelijkbaar" is met de $ 551.8 miljoen dollar van Axie Infinity. Ronin Netwerk exploiteren vanaf maart. In april heeft het Amerikaanse ministerie van Financiën bevestigd dat de door de staat gesponsorde cybercriminaliteitsgroep van Noord-Korea, bekend als Lazarus Group, achter de exploit van Ronin Network zat.

Harmony verklaarde dat zijn vertrouwde Bitcoin-brug niet werd beïnvloed door de exploit en dat het het publiek zou blijven updaten met nieuwe informatie zodra deze binnenkwam.

Openbaarmaking: op het moment van schrijven was de auteur van dit stuk eigenaar van ETH en verschillende andere cryptocurrencies.