L'attaccante ha drenato 200K XRP dal ponte utilizzando un deposito falso
Il 9 agosto, un ponte che collega il XRP Ledger e Coreum (ora rinominato come tx) ha perso quasi 200.000 XRP dopo che un attaccante ha ingannato il suo sistema di controllo dei depositi facendolo trattare un trasferimento da wallet a wallet come un vero deposito.
Il ponte è stato successivamente bloccato, e sia l'operatore che i ricercatori esterni hanno rintracciato il fallimento a un software lato Coreum piuttosto che a qualcosa sul XRP Ledger stesso.
Cosa è successo e come è scattato l'allarme
Il primo avviso pubblico è arrivato da un trader che si è presentato come playa, il quale ha segnalato che l'account XRPL del ponte rxXXXeMX8Gy5YvibvGLnQJ1XKKD7UswM1 stava perdendo fondi e ha indicato l'impostazione DefaultRipple dell'account come causa.
Playa ha detto che il saldo era passato da 93.700 XRP a 77.200 XRP in pochi minuti, una lettura presa da un intervallo di undici minuti di quello che si è rivelato essere un drenaggio di novantasette minuti.
Un altro utente, Vet, ha risposto nello stesso thread, scrivendo che “la ragione è che il ponte coreum era stato attivamente sfruttato.” Playa ha poi concordato, postando, “Ero di fretta quando ho postato e non ho approfondito correttamente.”
Il team di tx ha confermato lo sfruttamento in una dichiarazione, affermando che il suo software “ha registrato erroneamente transazioni che in realtà non hanno mai consegnato alcun XRP al ponte.”
Un'analisi tecnica di Reza Bashash ha chiarito il meccanismo: l'attaccante ha inviato il token avvolto del ponte tra due dei propri portafogli, ha allegato una nota di deposito del ponte e, poiché il token è emesso dal ponte, il trasferimento è apparso nella sua cronologia ed è stato interpretato come un deposito genuino.
I relayer lo hanno approvato, gli asset non garantiti sono stati coniati sul lato Coreum e l'attaccante ha ritirato XRP reali contro di essi. Bashash ha stimato il totale a 198.715,88 XRP, convertiti in ETH, instradati attraverso THORChain e infine inviati a Tornado Cash.
La tx dice che la vulnerabilità è stata identificata, il ponte rimane bloccato e ha presentato un rapporto al Centro di Reclamo per Crimini Informatici dell'FBI. Nessun altro asset ponte è stato colpito e l'operatore afferma che è ancora in fase di elaborazione un piano per compensare gli utenti.
Uno sguardo più profondo e un mercato già sotto pressione
Una revisione successiva sulla catena ha trovato la stessa causa radice da un angolo diverso: 21 relayer Coreum separati hanno attestato lo stesso deposito fantasma, consentendo all'attaccante di coniare asset del ponte senza alcun supporto, quindi ha ripetuto il trucco con importi crescenti prima di incassare.
Ogni pagamento successivo sul Ledger XRPL portava una valid multisignature dal proprio quorum di relayer del ponte, motivo per cui la spiegazione di DefaultRipple non ha retto una volta controllati i dati della transazione. L'XRP nativo non ha alcuna linea di fiducia da seguire in primo luogo e la flag governa solo i token emessi dal ponte.
L'exploit è avvenuto mentre XRP stava già scivolando. Il token si trova vicino a $1.02, vicino a un minimo di 21 mesi, in calo di circa il 4.4% questa settimana mentre Bitcoin è sceso a circa $64,000 e l'intero mercato delle criptovalute ha perso circa $40 miliardi in un giorno.
Fonte: CryptoPotato