ZetaChain mengumumkan analisis insiden: celah pengiriman pesan lintas rantai menyebabkan kerugian sebesar 330.000 dolar AS

BlockBeats berita, 29 April, ZetaChain baru-baru ini merilis laporan analisis pasca kejadian, mengonfirmasi bahwa serangan pada 24 April berasal dari celah dalam saluran komunikasi pesan lintas rantai mereka. Penyerang memanfaatkan tiga masalah yang saling terkait: sistem lintas rantai mengizinkan “panggilan sembarang” dengan pembatasan yang sangat sedikit; kontrak GatewayEVM di penerima menerima sebagian besar perintah termasuk “transferFrom”; sebelumnya pengguna memberikan izin tanpa batas yang tidak dapat dicabut saat menyetor token melalui “GatewayEVM.deposit()”, dan penyerang memanfaatkan ini untuk menarik token dari dompet.

Serangan ini melibatkan total 9 transaksi di empat rantai yaitu Ethereum, Arbitrum, Base, dan BSC, dengan kerugian total sebesar 333.868 dolar AS (terutama USDC dan USDT), hanya mempengaruhi tiga dompet tim internal, tanpa kerugian dana pengguna. ZetaChain menyatakan bahwa penyerang bukanlah oportunis, melainkan telah menginvestasikan banyak waktu dan sumber daya untuk persiapan, termasuk menyediakan dana ke dompet melalui Tornado Cash tiga hari sebelum serangan dan melancarkan serangan brute-force untuk meniru alamat korban. Saat ini ZetaChain telah menerapkan patch, dan fungsi transaksi lintas rantai akan tetap ditutup hingga upgrade dan audit selesai.