È stata scoperta una nuova vulnerabilità in una piattaforma crypto. L’eroe di giornata è stato un cosiddetto hacker “white hat”, che ha trovato un bug sfruttabile nel bridge tra ETH e Arbitrum Nitro.
L’hacker, conosciuto su Twitter con il nome di riptide, ha illustrato in questo articolo la sua scoperta, che arriva sulla scia di una serie crescente di violazioni nei bridge che collegano le diverse blockchain. Queste, collettivamente, sono state svuotate di centinaia di milioni di dollari di fondi, quest’anno. Fondi che, per la maggior parte, appartenevano agli utenti delle piattaforme in questione.
Riptide, l’hacker che ha salvato Arbitrum e gli ETH degli utenti
Arbitrum, la soluzione di scaling layer-2 di Ethereum, ha pagato a riptide una taglia di 400 ether (ETH) come ricompensa tramite la piattaforma di bug bounty ImmuneFi.
La vulnerabilità multimilionaria, come l’ha definita riptide, avrebbe permesso a un potenziale aggressore di rubare tutti i depositi di ETH in arrivo dagli utenti che tentavano di collegare i loro beni tra i protocolli Ethereum layer-1 e layer-2 ad Arbitrum.
Questa vulnerabilità, secondo l’hacker white hat, avrebbe permesso a qualsiasi attore malintenzionato di impersonare un utente e inviare il messaggio di autenticazione alla funzione “sequencerInbox” per sfruttare la vulnerabilità.
Il deposito più grande registrato sul contratto inbox è stato di 168.000 ETH, circa 250 milioni di dollari, con depositi medi che vanno da 1.000 a 5.000 ETH in un periodo di 24 ore, riporta riptide.
Di seguito, il thread di Twitter dal profilo di riptide. A quanto pare, i 400 ETH corrisposti per la segnalazione della vulnerabilità non sarebbero neanche la cifra massima che una white hat hacker può ricevere.
No big deal just bridging a cool $470mm through the same Inbox contract 👀
Definitely should be eligible for a max bounty
— riptide (@0xriptide) September 20, 2022
Un bug simile è stato riscontrato recentemente nello smart contract del token bridge Nomad. Il costo, per il protocollo, si aggirerebbe attorno ai 190 milioni di dollari in criptovalute. Quest’ultimo è il terzo più grande hack di criptovalute dell’anno.
