ZetaChain объявила о расследовании инцидента: уязвимость в межцепочечной передаче сообщений привела к потере 330 000 долларов США

BlockBeats Новости, 29 апреля, ZetaChain недавно опубликовала отчет о послеследствиях, подтвердив, что атака 24 апреля произошла из-за уязвимости в их системе межцепочечной передачи сообщений. Атакующий использовал три взаимосвязанных проблемы: межцепочечная система позволяет инициировать «произвольные вызовы» с очень ограниченными ограничениями; приемный контракт GatewayEVM принимает большинство команд, включая «transferFrom»; ранее пользователи при внесении токенов через «GatewayEVM.deposit()» предоставляли неотзываемое неограниченное разрешение, что позволило злоумышленнику вывести токены из кошелька.

Общая сумма атаки включает 9 транзакций на четырех цепочках: Ethereum, Arbitrum, Base и BSC, с общими потерями в 333 868 долларов США (в основном USDC и USDT), затронуты только три внутренних кошелька команд, без потерь средств пользователей. ZetaChain заявила, что злоумышленник не был случайным, а вложил много времени и ресурсов в подготовку, включая за три дня до атаки финансирование кошелька через Tornado Cash и проведение грубой атаки методом перебора, чтобы имитировать адрес жертвы. В настоящее время ZetaChain внедрила исправление, и межцепочечная функция транзакций будет отключена до завершения обновления и проверки.