ZetaChain anuncia análise de incidente: vulnerabilidade na transmissão de mensagens entre cadeias resultou em perda de 330 mil dólares

BlockBeats mensagem, 29 de abril, a ZetaChain publicou recentemente um relatório de análise pós-evento, confirmando que o ataque de 24 de abril teve origem em uma vulnerabilidade em seu canal de transmissão de mensagens entre cadeias. O atacante explorou três problemas inter-relacionados: o sistema de cross-chain permite "chamadas arbitrárias" com restrições mínimas; o contrato GatewayEVM na extremidade receptora aceita a maioria dos comandos, incluindo "transferFrom"; anteriormente, os usuários concederam permissões ilimitadas não revogáveis ao depositar tokens via "GatewayEVM.deposit()", permitindo ao atacante extrair tokens da carteira.

Este ataque envolveu um total de 9 transações nas quatro cadeias Ethereum, Arbitrum, Base e BSC, com uma perda total de 333.868 dólares (principalmente USDC e USDT), afetando apenas três carteiras de equipes internas, sem perdas de fundos dos usuários. A ZetaChain afirmou que o atacante não foi um oportunista, mas investiu muito tempo e recursos na preparação, incluindo fornecer fundos para a carteira via Tornado Cash três dias antes do ataque e realizar ataques de força bruta para imitar os endereços das vítimas. Atualmente, a ZetaChain implementou patches, e a funcionalidade de transações entre cadeias permanecerá desativada até a conclusão da atualização e revisão.