CrossCurve Mengesahkan Penerokaan Aktif pada Bridge yang Melibatkan Pelbagai Rangkaian

CrossCurve telah mengesahkan bahawa terowong rentas rantai mereka sedang diserang secara aktif selepas satu pemeriksaan pengesahan yang terlepas membolehkan mesej rentas rantai palsu lulus melalui sistem mereka.

Kebocoran tersebut membolehkan penyerang menyalurkan dana terus dari kontrak PortalV2 protokol, dengan data onchain menunjukkan kerugian kira-kira $3 juta yang tersebar di pelbagai rangkaian blockchain.

Pihak pasukan secara terbuka mengakui kelemahan ini dan menggesa pengguna untuk segera menghentikan semua interaksi dengan platform sementara siasatan kecemasan masih berlangsung.

CrossCurve, yang dahulunya dikenali sebagai EYWA, ialah projek interoperabiliti yang disokong oleh Curve dan diasaskan oleh Michael Egorov, serta pernah mengumpulkan hampir $7 juta dalam pembiayaan.

Pengesahan ini sekali lagi mengingatkan kita betapa terowong rentas rantai masih merupakan salah satu komponen infrastruktur DeFi yang paling menjadi sasaran dan paling mudah terdedah kepada serangan.

Kelemahan Pengesahan Membolehkan Mesej Palsu Menyedut Dana PortalV2

Secara teknikal, menurut dapatan awal CrossCurve, kelemahan ini bermula daripada pemeriksaan pengesahan yang terlepas dalam proses pengesahan mesej terowong.

Kelemahan ini membolehkan penyerang menyediakan arahan rentas rantai palsu yang kelihatan sah bagi protokol, sekali gus membolehkan pengeluaran tanpa izin tanpa mencetuskan langkah-langkah keselamatan dalaman.

Setelah mesej palsu itu lulus melalui sistem, penyerang secara sistematik menyalurkan aset yang tersimpan dalam kontrak PortalV2 ke beberapa rangkaian yang berhubung.

Serangan terhadap terowong telah menjadi salah satu vektor serangan dominan dalam dunia kripto dalam dua tahun kebelakangan ini, terutama kerana terowong ini menyimpan likuiditi berkumpul yang direka untuk memindahkan aset antara rantai dengan pantas, sekali gus mencipta titik kegagalan tunggal yang besar.

Dalam kes CrossCurve, serangan ini tidak memerlukan penggodaman langsung pada logik kontrak pintar. Sebaliknya, ia menyalahgunakan lapisan penghantaran mesej yang mengkoordinasikan pergerakan aset antara pelbagai ekosistem.

Pihak pasukan kini telah membekukan terowong yang diserang dan melancarkan siasatan forensik menyeluruh untuk memahami bagaimana mekanisme pengesahan itu dapat dipintas.

Penyerang Menyedut Token EYWA Tetapi Tidak Dapat Melaksanakan Penjualan

Salah satu aset terbesar yang terjejas akibat kebocoran ini ialah EYWA, token asli CrossCurve.

Penyerang telah mengekstrak 999,787,453.03 token EYWA ke rangkaian Ethereum, namun pihak pasukan dengan segera menjelaskan bahawa token-token ini sebenarnya terperangkap dan tidak boleh dijual atau diedarkan.

Walaupun EYWA dilancarkan pertama kali di Ethereum, seluruh bekalan beredar token tersebut telah dipindahkan ke Arbitrum semasa acara penghasilan token.

Sebagai hasilnya:

• Tiada kolam likuiditi DEX untuk EYWA di Ethereum

• Bursa pusat yang menyokong EYWA di rangkaian Ethereum telah membekukan deposit

• Terowong yang diserang telah dibekukan untuk menghalang pergerakan lanjut

Dari segi praktikal, token EYWA yang dicuri kini terpisah di Ethereum tanpa sebarang jalan untuk keluar, diperdagangkan, atau mempengaruhi bekalan beredar.

CrossCurve menegaskan bahawa semua EYWA yang tersimpan di Arbitrum masih selamat sepenuhnya, dan pengguna boleh terus menukar dan berdagang seperti biasa di kedua-dua bursa terdesentralisasi dan pusat.

Untuk mengukuhkan usaha pengawasan, pihak pasukan juga telah menghubungi platform perdagangan utama, termasuk KuCoin, Gate, MEXC, BingX, dan BitMart, bagi memastikan penyerang tiada sebarang peluang untuk melaksanakan penjualan token yang dicuri.

Token Lain Berjaya Disedut Daripada Terowong

Sementara bahagian EYWA dalam serangan ini telah berjaya ditangani, penyerang tetap berjaya mengekstrak pelbagai aset lain daripada infrastruktur terowong.

Jumlah token yang dicuri termasuk:

3CRV, 2,578.22

USDT, 815,361

WETH, 123.59

CRV, 239,889.64

2CRV, 2,421.92

USDC, 34,820.73

WBTC, 2.64

USDB, 10,288.43

c(USD)CT, 4,199.24

frxUSD, 1,064.99

Dari segi nilai pasaran, kerugian dibahagikan antara:

• $110,194.49 daripada kolam likuiditi CrossCurve

• $1,331,697.82 daripada blockchain Units

Jumlah ini membawa jumlah keseluruhan yang telah disahkan kepada $1,441,892.31 dalam aset yang berjaya dikeluarkan dan masih berada di bawah kawalan penyerang.

Walaupun lebih kecil berbanding beberapa serangan terowong baru-baru ini, kebocoran ini tetap merupakan insiden keselamatan yang besar bagi sebuah protokol interoperabiliti yang semakin berkembang.

Bursa Bekukan Deposit Ketika Siasatan Semakin Intensif

CrossCurve telah bertindak pantas untuk mengurangkan sebarang kemungkinan kerosakan lanjut akibat serangan ini.

Selain membekukan terowong yang diserang, pihak pasukan turut berkoordinasi secara langsung dengan bursa-bursa pusat untuk memastikan aset yang dicuri tidak boleh didepositkan, ditukar, atau digunakan untuk tujuan pengubahan wang haram melalui platform perdagangan.

Tindakan pantas ini secara signifikan mengurangkan keupayaan penyerang untuk merealisasikan keuntungan, satu strategi yang semakin menjadi amalan standard dalam pengawasan insiden DeFi moden.

Pada masa yang sama, CrossCurve telah melancarkan siasatan menyeluruh untuk menentukan:

• Jalur serangan sebenar

• Adakah terdapat kelemahan tambahan

• Bagaimana untuk mengukuhkan mekanisme pengesahan secara berterusan

• Apakah naik taraf jangka panjang yang diperlukan bagi protokol

Pihak pasukan juga telah memberikan tempoh 72 jam kepada penyerang untuk menghubungi mereka berkaitan kemungkinan pemulangan dana yang dicuri, satu pendekatan yang lazim dalam insiden DeFi dan kadangkala membawa kepada pemulangan sebahagian atau keseluruhan dana.

Sementara itu, penjejakan forensik blockchain sedang aktif mengenal pasti dompet dan aliran transaksi berkaitan bagi mengesan rangkaian yang lebih luas milik penyerang.

Isyarat Amaran Lagi Untuk Keselamatan Terowong Rentas Rantai

Serangan CrossCurve menambah kepada senarai serangan yang berfokus pada terowong, yang terus menyedut ratusan juta daripada ekosistem kripto setiap tahun.

Walaupun audit kontrak pintar telah meningkat dalam kalangan ekosistem DeFi, sistem penghantaran mesej rentas rantai masih kompleks, terpecah-pecah, dan sukar untuk dipastikan sepenuhnya, sering melibatkan relai luar rangkaian, lapisan pengesahan, dan logik pengesahan tersendiri.

Satu pemeriksaan yang terlepas, seperti yang dilihat dalam insiden ini, boleh mendedahkan likuiditi berkumpul yang besar dalam masa beberapa saat.

Bagi para protokol, ini menyerlahkan keperluan mendesak untuk:

• Pengesahan formal bagi logik terowong

• Sistem pengesahan berganda

• Tempoh penangguhan bagi transaksi rentas rantai yang besar

• Pemantauan masa nyata yang berterusan

• Likuiditi yang terpisah berbanding kolam tunggal

Bagi pengguna, ini mengukuhkan fakta bahawa terowong masih merupakan salah satu komponen infrastruktur terdesentralisasi yang paling berisiko, walaupun disokong oleh pasukan berpengalaman dan tokoh-tokoh industri terkemuka.

Walaupun CrossCurve bertindak pantas untuk mengawasi kerosakan dan melindungi dana pengguna, serangan ini sekali lagi menekankan betapa rapuhnya lapisan interoperabiliti apabila hanya terdapat sedikit kelemahan dalam pelaksanaan.

Seiring dengan pertumbuhan aktiviti rentas rantai, keselamatan mekanisme pengesahan bakal menjadi salah satu medan pertempuran paling kritikal dalam evolusi seterusnya DeFi.

Pendedahan: Ini bukan nasihat dagangan atau pelaburan. Sila lakukan penyelidikan anda sendiri sebelum membeli mana-mana kripto atau melabur dalam mana-mana perkhidmatan.

@nulltxnews untuk sentiasa mendapat maklumat terkini tentang berita Kripto, NFT, AI, Keselamatan Siber, Komputasi Tersebar, dan Metaverse!