A ponte Verus-Ethereum perde 7,5 milhões de dólares no segundo exploit em 66 dias

A Ponte Verus-Ethereum sofreu um segundo exploit em 23 de Julho, quinta-feira, com os atacantes a esvaziarem entre 7,3 milhões e 7,5 milhões de dólares em ativos digitais através de um pedido de importação maliciosamente criado, segundo investigadores de segurança em blockchain. A violação explorou a mesma falha de bypass de autorização e de assunção do estado do protocolo que permitiu um ataque de 17 de Maio que roubou aproximadamente 11,6 milhões de dólares, elevando as perdas totais para cerca de 19,1 milhões de dólares ao longo de 66 dias. Analistas de segurança identificaram a causa raiz como lógica de verificação insuficiente: embora a ponte validasse assinaturas de notário, raízes de estado e provas de Merkle, falhou em confirmar que os montantes de pagamento coincidiam com os ativos bloqueados do lado Verus, permitindo levantamentos não suportados a partir das reservas na Ethereum. O incidente evidencia desafios de segurança persistentes na infraestrutura de pontes entre cadeias, em que a verificação criptográfica é bem-sucedida, mas a validação da lógica de negócio para garantir o lastro dos ativos falha.

Atacantes exploram bypass de autorização na lógica da ponte

O ataque envolveu uma importação a partir do lado Verus, maliciosamente criada, que incluía um pedido de pagamento sem lastro na Ethereum. A ponte verificou assinaturas de notário, raízes de estado e provas de Merkle, mas falhou em verificar que o montante de pagamento solicitado correspondia aos ativos bloqueados ou exportados no lado Verus, de acordo com analistas de segurança.

A Backward Labs afirmou que a causa raiz foi uma questão de bypass de autorização e de assunção do estado do protocolo. A ponte aceitou uma importação comprovada que autorizava pagamentos de reservas com múltiplos ativos, mas verificações críticas a montante para criação, autorização, hash de transferência, contagem e suporte económico foram insuficientes. Uma análise referiu: "Desta vez, a mesma causa raiz continuou explorável durante 66 dias."

Várias ferramentas de monitorização assinalaram a transação com uma pontuação crítica, citando manipulação de estado, cunhagem arbitrária e saídas de Finanças Descentralizadas (DeFi).

As reservas da ponte perdem ETH, USDC, DAI e seis outros ativos

Os ativos retirados das reservas da ponte incluíram Ether, tBTC, MKR, USDC, Tether, EURC e scrvUSD. No caso do DAI, a ponte interagiu com uma posição de garantia na Sky (anteriormente MakerDAO) para cunhar aproximadamente 220.357 DAI a fim de cumprir o pedido fraudulento.

A violação de 17 de Maio tinha roubado aproximadamente 11,6 milhões de dólares usando um método semelhante, elevando as perdas combinadas para cerca de 19,1 milhões de dólares.

Backward Labs publica prova de conceito e análise da causa raiz

A Backward Labs publicou um relatório e uma prova de conceito destacando o invariante quebrado: "As reservas da ponte Ethereum só podem ser libertadas para transferências de reservas da cadeia de origem cuja criação de CCE, autorização, hash de transferência, contagem e suporte económico sejam todos comprovados no ciclo de vida esperado da ponte."

O exploit evidencia desafios de segurança contínuos com pontes entre cadeias, em que a verificação criptográfica é bem-sucedida, mas a validação da lógica de negócio para garantir o lastro dos ativos falha. Os exploits de pontes continuam a ser um problema recorrente em DeFi, muitas vezes levando a perdas irreparáveis, porque as transações na blockchain são imutáveis.

Perguntas frequentes

O que aconteceu com a Ponte Verus-Ethereum a 23 de Julho?
Os atacantes exploraram uma falha de bypass de autorização a 23 de Julho, drenando entre 7,3 milhões e 7,5 milhões de dólares em ativos digitais incluindo ETH, USDC, DAI, tBTC, MKR, Tether, EURC e scrvUSD através de um pedido de importação maliciosamente criado que contornou a verificação de lastro dos ativos.

Porque é que a mesma vulnerabilidade continuou explorável durante 66 dias?
O contrato inteligente da ponte falhou em verificar que os montantes de pagamento coincidiam com os ativos bloqueados no lado Verus. Embora validasse provas criptográficas e assinaturas, verificações críticas a montante para criação, autorização, hash de transferência, contagem e suporte económico foram insuficientes, permitindo que o mesmo método de ataque usado a 17 de Maio voltasse a ter sucesso a 23 de Julho.