跨链桥攻击就导致了13.17亿美元的损失

5次跨链桥漏洞攻击总损失已超13亿美元 谁来为这天价损失买单?

区块链网专职打假记者李文浩报道:2022年自年初至今,仅5次的跨链桥攻击就导致了13.17亿美元的损失——这个数字是2022年Web3.0行业因黑客、欺诈、漏洞等事件造成总资产损失金额的57%。

之所以跨链桥攻击的损失如此巨大,是因其本身的固有安全漏洞及整个领域缺乏防御攻击专业意识和相关理论知识。

规模位于前三的跨链桥攻击事件分别为:Ronin Network,造成6.24亿美元的损失;Solana跨链桥项目虫洞(Wormhole),造成3.26亿美元的损失;Nomad,造成1.9亿美元的损失。

本文将通过分析今年发生的这5起尤其是具有代表性的Nomad Bridge攻击事件,与大家探讨跨链桥的安全问题及解决方式。

跨链桥安全

在分析这几起攻击事件前,我们需要明确一下跨链桥存在的固有安全问题。

V神Vitalik Buterin曾在Reddit上写道,因为51%攻击的影响,他对跨链应用持悲观态度。然而除此之外,还有更多需要考虑的其他问题。

在2022年7月22日发布的一个推特视频中(https://twitter.com/nomadxyz_/status/1550525582714097664),Nomad的创始人James Prestwich解释了为何行业普遍在跨链应用建立安全模型方面缺乏专业知识,以及为何获取这些标准的专业知识需要花费一年的时间。

对于个人用户来说,很难将资产从一个区块链转移到另一个区块链,因此必须通过跨链桥来实现这一操作。跨链桥协议的原理是:用户在A链将代币存入,随后在B链上收到债务代币。一旦B链的债务代币被销毁,则A链存储的代币就会被释放。

为了实现这一功能,跨链桥需要实现这几个功能:保管用户存入的代币,向用户释放债务代币,以及在不同链之间发送消息的预言机。这使得跨链桥在安全方面更加脆弱——黑客可以下手的地方实在太多了。

条条大路通跨链桥,对黑客来说,又怎么能轻易拒绝这种快速暴富的攻击渠道?攻击造成的后果并不只是存款损失,一旦跨链桥产生漏洞或遭到攻击,整个跨链桥的代币将很可能失去所有价值。

Ronin Network

Ronin Network漏洞是有史以来最大的DeFi漏洞。

3月底,CertiK审计团队监测到NFT游戏Axie Infinity侧链Ronin Network遭到攻击,损失价值约6.24亿美元的17.36万枚ETH以及2550万枚USDC

Ronin Network需要验证九个验证节点中的五个签名。而攻击者黑了4个Sky Mavis的私钥,制造了5个合法的签名,即:4个Sky Mavis验证器和1个Axie DAO运行的第三方验证器产生的签名。

这导致5个验证器节点被破坏,高级鱼叉式网络钓鱼攻击是造成这一情况的罪魁祸首。

Solana跨链桥项目虫洞(Wormhole)

北京时间2022年2月3日凌晨1点58分,CertiK审计团队监测到Solana跨链桥项目虫洞(Wormhole)遭到攻击。

此次事件中,攻击者通过注入一个欺骗性的sysvar账户绕过了系统验证步骤,并成功生成了一条恶意“消息”,指定要铸造12万枚wETH。最后,攻击者通过使用恶意“消息”调用了“complete_wrapped”函数,成功铸造了12万枚wETH,价值约3.26亿美元。

铸币两分钟后,攻击者将1万枚ETH桥接到以太坊链上,约20分钟后,以太坊链上又产生了8万枚ETH的交易。时至今日,这些资金仍在攻击者的钱包里。

该事件造成的损失金额之大,令其成为了跨链桥史上第二大黑客攻击事件。

Harmony Bridge

北京时间2022年6月23日19:06:46,CertiK审计团队监测到Harmony链和以太坊之间的跨链桥经历了多次恶意攻击。

CertiK团队安全专家分析,此次攻击事件可能源于黑客掌握了owner的私钥——攻击者控制MultiSigWallet的所有者直接调用confirmTransaction()从Harmony的跨链桥上转移大量代币,导致Harmony链上价值约9700万美元的资产被盗,该笔资金后被转移至Tornado Cash。

这起攻击事件涉及到了12笔价值约5万美元到4120万美元以上的交易及3个攻击地址,涉及到的代币包括ETH、USDC、WBTC、USDT、DAI、BUSD、AAG、FXS、SUSHI、AAVE、WETH和FRAX。

Qubit Bridge

发生于年初的Qubit攻击事件也是一个典型的跨链桥漏洞事件。

2022年1月27日,CertiK审计团队监测到Qubit遭到攻击,导致了约8000万美元的损失。

攻击者调用了QBridge合约,在没有提供任何加密货币的情况下使bridge合约产生了攻击者已存款的虚假时间证明。

ETH和ERC-20的存款共享相同的事件证明,因此允许攻击者调用该函数利用不存在的ERC20存款事实生成虚假的ETH存款事件证明,并以此在另一条链上提取ETH。因此,攻击者在没有向合约发送任何代币的情况下通过了QBridgeHandler证明,并在交叉链上铸造了大约77,162个qxETH。黑客随后将盗取的资金存入了Tornado Cash。

Nomad Bridge

北京时间2022年8月2日,CertiK安全团队监测到Nomad Bridge遭受攻击,导致了价值约1.9亿美元的损失。

合约的问题在于在initialize() 函数被调用的时候,“committedRoot” 被设成了0x00地址。因此,攻击者可以通过消息的验证,将在桥合约中的代币转移。锁仓总价值由1.9亿美元骤降为1.2万美元——这实质上使得攻击者可以在A链上存入1ETH而在B链上收到100ETH。

这个漏洞的神奇之处在于,看起来好像没有任何一个直接攻击者。但至少有41个钱包参与了此次攻击,我们可以认为它是Web3.0世界第一个「群体作案」。也许正是因为这个原因,攻击者可以轻易地从桥上提取资金。

第一笔可疑交易发生在8月2日凌晨5:32,100wBTC(价值约220万美元)被转移到0x56d8......我们可以观察到代币从这里开始持续疯狂转移。

这样的漏洞也在吸引着如Rari Capital攻击者这样的以往Web3.0黑客。

另外有个有意思的地方是,还有个恶意者试图对这起事件的黑客进行网络钓鱼攻击,ta持有ENS nomadexploiter.eth的EOA向持黑客EOA发送了链上信息,在8月2日注册冒充Nomad与黑客进行谈判:

Nomad在推特上发布声明称这不是他们干的

写在最后

这些攻击事件的漏洞在持续警醒我们:跨链桥漏洞所能造成的破坏性极其巨大。

Web3.0世界目前急需更安全和更广泛的跨链应用。未来同类性质的漏洞可能会出现的越来越多、越来越频繁。

我们可以尽力而为的至少是确保项目代码经过了完备的测试和安全审计,这将大幅提高面对高破坏性黑客攻击的抵御能力。

24小时热点

​张庭夫妇:收割完国内100亿再转战马来西亚!比炒币来钱快多了

区块链网QKLW.COM记者报道:张庭夫妇收割完国内100亿 ... 置顶

8814

网信办整治“币圈”乱象,关闭上万个违规账号和105家网站

网信办整治“币圈”乱象,关闭上万个违规账号和105家网站 ... 置顶

45961

加密交易平台Hotbit在8月11日爆雷了

继安银(AEX)、虎符(Hoo)之后,又一家虚拟货币交易平台 ...

4158

MakersPlace

加密货币基金三箭资本欠35亿美元爆雷

加密货币基金三箭资本破产清算的更多细节被曝出。 ...

3705

zTag

加密期货交易所 CoinFLEX爆雷

加密货币冬天让 Nuri 资不抵债,而 CoinFlex 正 ...

3688

宙核

以太坊 Gas 费真的越低越好吗

高 Gas 会导致糟糕的用户体验,但也能为以太坊带来性感的市 ...

1037

比特币康先森

美债收益率创11年新高 投资者抛售风险资产 美股、加密市场被“双杀”

华尔街自 6 月以来最糟糕的一周刚刚结束,美股期货本周再次大 ...

2573

洞壹元典

瞄准高净值客户 新加坡星展银行计划扩大加密货币业务

金融时报消息指出,尽管存在加密货币熊市,新加坡最大的银行仍计 ...

4151

秦储

Tornado 混币器有可能爆雷

隐私对于 Crypto 来说是一件很奇怪的事,很多人不以为然 ...

8941

One Art数字藏品

全球前十交易所BKEX招募合伙人,高额佣金天天返!

当前的加密市场是大趋势。越来越多的人开始身兼数职。交易所板块 ...

39661

BKEX(币客)

Sui 生态中有哪些项目值得关注

近期,在新一轮公链叙事中,有着 Move 双子星之称的高性能 ...

4792

LBank

吸血、迁移与资本局 Move 公链大火背后

区块链网QKLW.COM记者报道:“这个 Aptos Bui ...

1717

1inch

热点专题

以游戏带动引擎发展实现功能迭代与技术演进

游戏引擎作为游戏创作工具与游戏运行的底层控制器,着力于在虚拟 ... 置顶

24543

2022年打假总结:存活近3年 疯狂的“传销币”GEC是怎么苟延残喘至今?

币圈从来不缺乏资金盘或是传销币,但多数都不长久,一夜之间项目 ...

2756353

加密兔

2022年打假总结:Pi Network项目的传销性质Pi币

曾经,号称“走路就能赚钱”拥有大量用户和广泛影响的国内APP ...

2159467

文昌链

国内460种传销币套路和骗子币名单大曝光

全员警惕!!!国内460种传销币套路和骗子币名单大曝光(附全 ...

1468618

Coin Metrics

柴犬币SHIB来了

受狗狗币启发,柴犬币(SHIB)近两天被创造出来。

1195451

Luart

专门忽悠企业家的中国十大骗子大师

“大师”的伎俩: 最近几年,在网络、机场的书店, ...

1144342

希壤

非常硬核的LP流动性挖矿的核算

2021年1月19日20:00MDX正式上线交易挖矿和流动性 ...

1067608

RMRK

什么是去中心化交易所(DEX)?

去中心化交易所是一个基于区块链的交易所,它不将用户资金和个人 ...

1053018

bitFlyer交易所

骗走了中国人5000亿MBI集团的“易物币”长什么样的

人性终究还是舍弃不掉自己贪婪的一面! 今年10月 ...

823414

a16z

在Mdex上挖矿教程

Mdex是火币生态链上的去中心化交易所,Mdex挖矿于1月1 ...

752806

大都会资本

国家区块链相关政策汇总

据零壹智库不完全统计,截至2019年12月,国家层面共计出台 ...

652259

利得链