Il protocollo 402bridge è stato vittima di un significativo incidente di sicurezza, che ha comportato la perdita di oltre 17.000 USDC. La violazione, avvenuta il 27 ottobre, ha compromesso oltre una dozzina di wallet del team a causa di una fuga di chiavi private. Questo evento evidenzia le continue sfide di sicurezza nell'ecosistema dei bridge cross-chain.
Punti chiave
-
Importo della perdita: Sono stati rubati oltre 17.693 USDC.
-
Causa: Una fuga di chiavi private ha portato alla compromissione di più wallet e di uno smart contract.
-
Vettore di attacco: Un aggressore ha sfruttato una vulnerabilità di "autorizzazione eccessiva", modificando il proprietario dello smart contract e trasferendo i fondi degli utenti.
-
Azioni dell'aggressore: Gli USDC rubati sono stati convertiti in 4,2 ETH e spostati sulla rete Arbitrum.
-
Raccomandazioni: Si consiglia agli utenti di revocare l'autorizzazione per lo smart contract compromesso.
-
Indagine: Le forze dell'ordine sono state informate e un'indagine interna è in corso.
L'incidente si svolge
Il 27 ottobre, un hacker sconosciuto ha preso di mira il protocollo cross-chain 402bridge, rubando con successo circa 17.693 USDC. La violazione è stata attribuita a una fuga di una chiave privata, che ha successivamente compromesso più di una dozzina di wallet di test e principali del team. Esperti di sicurezza di GoPlus hanno identificato la causa principale come "autorizzazione eccessiva" prima dell'emissione delle monete. L'aggressore è riuscito a modificare il proprietario dello smart contract compromesso e ha utilizzato il metodo transferUserToken per distribuire USDC in eccesso a oltre 200 wallet di utenti. Successivamente, l'aggressore ha sottratto le stablecoin, le ha convertite in 4,2 ETH e ha trasferito i fondi sulla rete Arbitrum.
Comprendere la vulnerabilità
Il meccanismo del protocollo 402bridge richiede agli utenti di firmare o approvare transazioni tramite un'interfaccia web, che vengono poi inviate a un server interno. Questo server estrae i fondi e conia le monete. Il team di 402bridge ha spiegato che per facilitare questo processo, la chiave privata deve essere memorizzata sul server, rendendola accessibile online. Una fuga di questa chiave potrebbe concedere a un aggressore privilegi amministrativi, consentendogli di reindirizzare i fondi degli utenti ed eseguire un tale attacco.
Implicazioni più ampie e dibattito del settore
Questo incidente segna il primo furto pubblico di fondi associato al protocollo x402, uno strumento di pagamento online progettato per transazioni di stablecoin e per abilitare accordi autonomi per agenti AI. L'attacco avviene anche nel mezzo di un dibattito più ampio sulla sicurezza delle soluzioni di scaling di Layer 2 (L2). Poco prima dell'incidente di 402bridge, è sorto un disaccordo tra il ricercatore di criptovalute Gabriel Shapiro e il co-fondatore di Solana Anatoly Yakovenko riguardo alla sicurezza delle L2. Yakovenko ha sostenuto che le attuali L2 sono vulnerabili a causa di multisig autorizzati che possono modificare i contratti bridge senza notifica agli utenti, contrapponendo questo ai validatori di Solana. Shapiro ha replicato che le L2 come ZKsync hanno salvaguardie legali e di governance, sebbene Yakovenko abbia sostenuto che le costruzioni legali non eliminano i rischi tecnici. Esperti di Global Ledger hanno precedentemente identificato i bridge cross-chain come uno strumento primario per gli hacker per riciclare fondi rubati, sottolineando la velocità del prelievo dei fondi post-hack come un problema importante del settore.
Fonti
-
Il protocollo 402bridge ha perso oltre 17.000 USDC, ForkLog.
-
La violazione di 402bridge ha causato la perdita di USDC a oltre 200 utenti, Blockchain News
-
17.000 $ persi a causa di una fuga di chiavi private sfruttando 402Bridge durante il trend x402, Intellectia
-
402Bridge sfruttato per una fuga di chiavi private da 17.000 $ durante il trend x402, The Crypto Times
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.