Ankr-bridge verliest $304.500 door vijf vervalste ontvangstbewijzen
De Ankr-bridge verloor ongeveer $304.500 nadat een aanvaller vijf vervalste ontvangstbewijzen indiende met geldige handtekeningen.
Wat er gebeurde
De cross-chain bridge van Ankr gaf activa vrij nadat een aanvaller vijf vervalste withdrawal receipts indiende. Deze ontvangstbewijzen droegen geldige handtekeningen van trusted consensus signers.
Alle vijf de receipts verwezen naar dezelfde legitieme transactie op Optimism. De aanvaller wijzigde in elk receipt wel de ontvanger, de token en het opnamebedrag.
De withdrawal-functie controleerde niet onafhankelijk of het vermelde bronketenevenement daadwerkelijk had plaatsgevonden op het origineel netwerk. Daardoor accepteerde de bridge opnamegegevens die niet waren bevestigd aan het echte event op de bronketen.
De aanval veroorzaakte circa $304.500 aan verlies. De herkomst van de onbevoegde handtekeningen wordt nog onderzocht. Er is nog geen bevestiging dat de signers zijn gecompromitteerd.
Waarom dit telt
Voor beleggers in ANKR toont het incident een technisch veiligheidsrisico bij de bridge; geldige handtekeningen bleken niet voldoende om opnames te blokkeren als de bronketen niet onafhankelijk werd geverifieerd.
Waar je op kunt letten
- Onderzoek naar de herkomst van de handtekeningen en eventuele uitkomsten.
- Aanpassingen of fixes in de verificatie van source-chain events door Ankr.
- Communicatie van Ankr over maatregelen om herhaling te voorkomen.