Mais detalhes estão sendo revelados sobre o ataque de 2 de julho à plataforma de ponte cross-chain Poly Network. A exploração permitiu que um hacker fosse capaz de emitir bilhões de tokens do nada para obter lucro.

Em uma publicação de 2 de julho divulgada no Twitter, a Poly Network confirmou que se tornou a mais recente vítima de exploração de finanças descentralizadas (DeFi) depois que os invasores conseguiram manipular uma função de contrato inteligente no protocolo de ponte cross-chain, acrescentando que suspenderá temporariamente os seus serviços.

Na atualização mais recente, a equipe revelou que a exploração afetou 57 criptoativos de 10 blockchains, incluindo Ethereum, BNB Chain, Polygon, Avalanche, Heco, OKX e Metis.

Não foi especificado quanto foi roubado no ataque, mas a PeckShield informou anteriormente que o hacker havia transferido pelo menos US$ 5 milhões em criptomoedas.

Tokens transferidos para fora da Poly Network. Fonte: Twitter/PeckShield

"Já estamos em comunicação com as exchanges centralizadas e as agências de aplicação da lei e buscamos sua assistência", declarou a equipe em uma atualização em 3 de julho.

Ela também aconselhou as equipes de projeto e os detentores de tokens a retirar a liquidez do protoclo, desbloqueando seus tokens de provedor de liquidez e sacando seus fundos.

'Hack de 34 bilhões da Poly Network'

O analista de segurança de DeFi, Arhat, disse que a exploração resultou de uma vulnerabilidade de contrato inteligente que permitiu que o hacker "criasse um parâmetro malicioso contendo uma assinatura de validador e um cabeçalho de bloco falsos."

A ordem foi aceita pelo contrato inteligente, permitindo que o hacker contornasse o processo de verificação e emitisse tokens do pool da Ethereum da Poly Network para seu próprio endereço em outras redes, como Metis, BNB Chain e Polygon.

O processo foi repetido em outras redes, permitindo a acumulação de tokens.

"Dessa forma, o hacker conseguiu cunhar bilhões de tokens que não existiam antes em várias blockchains e transferi-los para seus próprios endereços de carteira."

O provedor de soluções de segurança de blockchain Dedaub apelidou a mais recente exploração da Poly Network de "hack de 34 bilhões da Poly Network".

Chegando ao fundo do hack de "34 bilhões" da Poly Network com um postmortem técnico.

TL ; DR

A Poly network tinha um arranjo simples de 3 de 4 multisig ao longo de 2 anos!

Analisando o evento final, descobrimos que as chaves privadas dos endereços marcados foram comprometidas.

— Dedaub (@dedaub)

Dedaub observou pontos fracos no multisig do protocolo, afirmando que ele manteve um acordo simples de multisig "3 de 4" ao longo de dois anos, acrescentando:

"Analisando o evento final, descobrimos que as chaves privadas dos endereços marcados foram comprometidas."

Dedaub explicou que o ataque não foi complexo, pois nenhum bug de lógica foi explorado. Ele acrescentou que a Poly Network levou sete horas para reagir aos acontecimentos, o que custou à plataforma US$ 5,5 milhões em criptomoedas roubadas. Felizmente, a falta de liquidez em muitos dos tokens evitou maiores perdas.

Após o ataque, o CEO da Binance, Changpeng Zhao, tranquilizou os clientes, afirmando que o caso "não afeta os usuários da Binance. Não oferecemos suporte a depósitos dessa rede."

A Poly Network foi novamente atacada, supostamente por causa de chaves privadas comprometidas.

Isso continuará acontecendo até que nosso setor mude sua abordagem em relação à segurança.

As auditorias de contratos inteligentes apenas arranham a superfície.

ps A Poly Network não tem NADA a ver com a Polygon.

— Mudit Gupta (@Mudit__Gupta)

O Cointelegraph entrou em contato com a Poly Network para obter mais detalhes sobre o caso, mas não recebeu resposta até a publicação deste artigo.

Em agosto de 2021, a Poly Network foi atacada em uma das maiores explorações do setor. Os hackers – mais tarde vinculados ao coletivo de hackers norte-coreanos, Lazarus Group – roubaram mais de US$ 600 milhões na ocasião.

LEIA MAIS