ETH:被盜1億美元的Harmony 驗證者節點安全如何保障？_RAN

2022年6月24日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，由Layer1公鏈Harmony開發的以太坊與Harmony間的資產跨鏈橋Horizon遭到攻擊，損失金額約為1億美元。目前Harmony官方已通知交易所并暫停了Horizon跨鏈橋。成都鏈安安全團隊對此事件進行了分析，現與大家分享。

HarmonyBridge是一個跨鏈橋項目，由五個驗證者節點進行操作驗證，本次攻擊主要原因是由于兩個驗證者節點的私鑰疑似泄露，導致合約的confirmTransaction函數被成功調用。

美國OCC前官員：穩定幣可以成為幫助美元維持其儲備貨幣地位的工具:金色財經報道，美國貨幣監理署（OCC）前官員Brian Brooks和Charles Calomiris表示，穩定幣可以成為幫助美元維持其儲備貨幣地位的工具。Brooks和Calomiris呼吁制定法規，允許穩定幣發行人明確資產繁榮所需的情況。穩定幣可以成為對抗全球去美元化的重要工具，成為發展中國家公民對美元需求的催化劑，即使這些國家的政府本身并不支持美元化。[2023/8/12 16:22:00]

歐易OKX發布第9次儲備金證明：22個公示幣種的儲備金率均超過100%:7月26日消息，歐易OKX正式發布第9次儲備金證明（PoR），22個公示幣種的儲備金率均超過100%，其中BTC、ETH、USDT的儲備金率均為103%，總計價值達113億美元。[2023/7/26 15:59:38]

#攻擊過程

攻擊者地址：

0x0d043128146654C7683Fbf30ac98D7B2285DeD00

私鑰疑似泄露地址：

0xf845A7ee8477AD1FB4446651E548901a2635A915

Kaiko：第二季度加密貨幣交易量降至年內低點:金色財經報道，根據Kaiko的數據，由于做市商縮減交易規模，加密貨幣交易量在整個第二季度創下了年度新低。2023年第二季度，十大代幣（不包括穩定幣）的日均交易量為100億美元，而今年第一季度的日均交易量為180億美元。

就整個第二季度單個代幣市場的交易量份額而言，比特幣自3月底的峰值以來已經損失了約20個百分點。以太坊的表現優于比特幣，交易量份額增加了5個百分點。Binance的BNB在過去幾天里，在Binance監管的恐懼中，從2%的交易量上升到超過7%。[2023/6/16 21:41:00]

0x812d8622C6F3c45959439e7ede3C580dA06f8f25

數據：Coinbase被訴后已有價值6570萬美元cbETH被贖回:6月8日消息，據Dune@21Shares數據顯示，自6月6日美國證券交易委員會（SEC）對Coinbase采取執法行動以來，已有35,810枚cbETH被贖回，價值約6570萬美元。cbETH是Coinbase以太坊質押代幣。其中，6月6日單日贖回量為27,280枚cbETH，價值約4910萬美元。[2023/6/8 21:24:10]

被攻擊合約：

0x715cdda5e9ad30a0ced14940f9997ee611496de6

示例哈希：

0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65

被攻擊的transactionId:21106-21118(eth),120515-120518(bsc)

私鑰泄露地址0x812d......8f25地址調用了0x715c......6de6合約的confirmTransaction函數進行操作驗證，此處我們以被攻擊的transactionId：21107進行分析。

可以發現在本次交易中，isConfirmed的驗證返回為true。

但是我們在合約中進行驗證者節點查詢會發現，雖然owner有五個，但是僅有兩名驗證者進行了驗證。

攻擊者就利用這兩個驗證者節點成功使用external_call獲取了相應的代幣，并反復利用此攻擊來獲利。

后續項目方通過transactionId為21126的交易將驗證者節點confirm通過的數量從2改為了4。

#資金追蹤

本次攻擊事件以太坊上損失了85,867個ETH，990個AAVE和78,500,000個AAG，BSC上損失了5,000個BNB和640,000個BUSD，共計約100,428,116美元，目前被盜資金還保存在攻擊者地址。成都鏈安將用鏈必追對被盜資金進行持續追蹤。

#事件總結

這次攻擊事件中，攻擊者利用了驗證者節點驗證通過需求數量較少的情況，利用兩個驗證者節點從而盜取了上億美金的資產。建議項目方在設計驗證者節點驗證數量需求盡量選擇較多節點，并且做好驗證者節點的節點安全。此外建議項目上線前選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

來源：金色財經

Tags：ETHACTIONRANSACT邇爾etherealaction幣圈Rangers ProtocolData Transaction

萊特幣價格