被盜1億美元的Harmony 驗證者節點安全如何保障？_CON

2022年6月24日，成都鏈安鏈必應-區塊鏈安全態勢感知平臺輿情監測顯示，由Layer1公鏈Harmony開發的以太坊與Harmony間的資產跨鏈橋Horizon遭到攻擊，損失金額約為1億美元。目前Harmony官方已通知交易所并暫停了Horizon跨鏈橋。成都鏈安安全團隊對此事件進行了分析，現與大家分享。

HarmonyBridge是一個跨鏈橋項目，由五個驗證者節點進行操作驗證，本次攻擊主要原因是由于兩個驗證者節點的私鑰疑似泄露，導致合約的confirmTransaction函數被成功調用。

Dennis Porter：比特幣采礦業的可持續性增長超過銀行業1400%:金色財經報道，Satoshi Action Fund創始人Dennis Porter在社交媒體上稱，根據最新研究， 比特幣采礦業的可持續性增長超過銀行業1400%。[2023/6/18 21:45:12]

#攻擊過程

攻擊者地址：

0x0d043128146654C7683Fbf30ac98D7B2285DeD00

美SEC委員Hester Peirce：在打擊Kraken質押業務之前，SEC沒有咨詢行業:金色財經報道，美國SEC委員Hester Peirce周五表示，在本周對“質押即服務”發起未注冊證券打擊之前，SEC并沒有試圖與加密行業進行磋商。美國最高投資監管機構對Kraken的訴訟是數字資產領域執法監管的最新例子。

Peirce說，我們沒有試圖與業內人士坐下來討論質押，這是加密貨幣持有者將他們的代幣委托給驗證者以獲得加密獎勵的過程。美國SEC很早就知道質押，現在打擊的決定是“武斷的”，就像它首先針對Kraken的質押業務一樣。

Peirce對針對Kraken的限制性條款尤其不滿。她稱，該公司已發誓永遠不會為美國客戶重新啟動質押業務，這意味著在SEC看來，即使它愿意，也無法通過光明正大的程序進行操作。（CoinDesk）[2023/2/11 11:59:53]

私鑰疑似泄露地址：

去中心化交易所Concordex完成170萬美元種子輪融資:12月19日消息，基于Layer 1 Concordium的去中心化交易所Concordex宣布完成170萬美元種子輪融資，Tacans Labs、Skynet Trading、Seier Capital和Concordium參投。

據悉，Concordex 將為用戶提供一個機構級投資平臺，彌合傳統金融（TradFi）和去中心化金融 ( DeFi）差異，并通過產品和服務提供真正的保證金和衍生品交易服務。該平臺計劃于2023年第一季度啟動主網。（Einpresswire）[2022/12/19 21:54:46]

0xf845A7ee8477AD1FB4446651E548901a2635A915

Watcher.Guru：平均每天有900枚比特幣被開采出來:金色財經報道，Watcher.Guru發推稱，平均每天有900枚比特幣（價值約1700萬美元）被開采出來。[2022/9/25 7:19:15]

0x812d8622C6F3c45959439e7ede3C580dA06f8f25

被攻擊合約：

0x715cdda5e9ad30a0ced14940f9997ee611496de6

示例哈希：

0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65

被攻擊的transactionId:21106-21118(eth),120515-120518(bsc)

私鑰泄露地址0x812d......8f25地址調用了0x715c......6de6合約的confirmTransaction函數進行操作驗證，此處我們以被攻擊的transactionId：21107進行分析。

可以發現在本次交易中，isConfirmed的驗證返回為true。

但是我們在合約中進行驗證者節點查詢會發現，雖然owner有五個，但是僅有兩名驗證者進行了驗證。

攻擊者就利用這兩個驗證者節點成功使用external_call獲取了相應的代幣，并反復利用此攻擊來獲利。

后續項目方通過transactionId為21126的交易將驗證者節點confirm通過的數量從2改為了4。

#資金追蹤

本次攻擊事件以太坊上損失了85,867個ETH，990個AAVE和78,500,000個AAG，BSC上損失了5,000個BNB和640,000個BUSD，共計約100,428,116美元，目前被盜資金還保存在攻擊者地址。成都鏈安將用鏈必追對被盜資金進行持續追蹤。

#事件總結

這次攻擊事件中，攻擊者利用了驗證者節點驗證通過需求數量較少的情況，利用兩個驗證者節點從而盜取了上億美金的資產。建議項目方在設計驗證者節點驗證數量需求盡量選擇較多節點，并且做好驗證者節點的節點安全。此外建議項目上線前選擇專業的安全審計公司進行全面的安全審計，規避安全風險。

來源：金色財經

Tags：CONTRAANSCTIConnectChainDecentraBNBAnswerlyACTION

比特幣