Wormhole cryptocurrency platform hacket for $325 millioner efter GitHub fejl

I onsdags blev den decentraliserede finansplatform (DeFi) Wormhole offer for det største tyveri af kryptovaluta i år – og blandt de fem største kryptohack nogensinde – da en angriber udnyttede en sikkerhedsbrist til at komme af med tæt på $325 millioner.

Angrebet ser ud til at være et resultat af en nylig opdatering af projektets GitHub-lager, som afslørede en rettelse til en fejl, der endnu ikke var blevet implementeret til selve projektet.

Angrebet fandt sted den 2. februar og blev bemærket, da et opslag fra Wormhole Twitter-kontoen meddelte, at netværket blev “nedlagt for vedligeholdelse”, mens en potentiel udnyttelse blev undersøgt. Et senere indlæg fra Wormhole bekræftede hacket og det stjålne beløb.

Ormehulsnetværket blev udnyttet til 120k wETH.

ETH vil blive tilføjet i løbet af de næste timer for at sikre, at wETH understøttes 1:1. Flere detaljer kommer snart.

Vi arbejder på at få netværket hurtigt op igen. Tak for din tålmodighed.

— Wormhole (@wormholecrypto) 2. februar 2022

Kort efter angrebet tilbød Wormhole-teamet også hackeren en dusør på 10 millioner dollars for at returnere midlerne, som var indlejret som tekst i en transaktion sendt til angriberens Ethereum wallet-adresse.

Wormhole leverer en service kendt som en “bro” mellem blockchains, i det væsentlige et escrow-system, der gør det muligt at deponere én type kryptovaluta for at skabe aktiver i en anden kryptovaluta. Dette giver en person eller enhed med besiddelser i én kryptovaluta mulighed for at foretage handler og køb ved hjælp af en anden, lidt ligesom at kunne finansiere en bankkonto i dollars og derefter bruge et bankkort til at købe noget til en pris i euro.

For at udføre angrebet lykkedes det angriberen at forfalske en gyldig signatur for en transaktion, der tillod dem frit at præge 120.000 wETH – et “indpakket” Ethereum-ækvivalent på Solana blockchain, med en værdi svarende til $325 millioner på tidspunktet for tyveriet – uden først at indtaste et tilsvarende beløb. Dette blev derefter vekslet til omkring 250 millioner dollars i Ethereum, der blev sendt fra Wormhole til hackernes konto, hvilket reelt likviderede en stor mængde af platformens Ethereum-midler, der blev holdt som sikkerhed for transaktioner på Solana blockchain.

Open source-kode-commits viser, at kode, der ville have rettet denne sårbarhed, blev skrevet så tidligt som den 13. januar og uploadet til Wormhole GitHub-lageret på dagen for angrebet. Blot timer senere blev sårbarheden udnyttet af hackeren, hvilket tyder på, at opdateringerne endnu ikke var blevet anvendt til produktionsapplikationen.

Som softwareudvikler Matthew Garrett observerede på Twitter, uploadede koden. blev beskrevet, som om det var en almindelig versionsopdatering, men faktisk indeholdt omfattende ændringer – et faktum, der kunne have tippet angriberen til, at det var en skjult sikkerhedsrettelse.

En anden fil tilgængelig via Wormhole Github-siden beskriver også en sikkerhedsrevision udført af sikkerhedsforskningsfirmaet Neodyme mellem juli og september 2021. Det er ikke klart, om sårbarheden var til stede i revisionsperioden, og Neodyme reagerede ikke på en anmodning om kommentar.

På grund af karakteren af ​​applikationer på tværs af kæder, efterlod angrebet midlertidigt et enormt underskud mellem mængden af ​​indpakket Ethereum og almindelig Ethereum, der opbevares i Wormhole-broen – som om sikkerhedsaktiveret understøttede et lån var pludselig forsvundet. Ifølge Forbes forårsagede angrebet et fald på 10 procent i værdien af ​​Solana-kryptovalutaen i kølvandet på hacket.

Ormehul-teamet har annonceret, at mere Ethereum vil blive tilføjet til bro til erstatning for de stjålne sikkerhedsstillelsesmidler, hvilket reelt betyder, at virksomheden bliver nødt til at finde 325 millioner dollars i aktiver for at lukke hullet.

På dette stadium er det uklart, hvor midlerne vil komme fra. Spørgsmål sendt til Jump Crypto, moderselskab for udviklerne af Wormhole-applikationen, havde ikke modtaget et svar på tidspunktet for offentliggørelsen.