Arbitrum оголошує про виплату баунті у розмірі 400 ETH

Сьогодні вранці з’явилися подробиці про вразливість і винагороду, сплачену Arbitrum. Виправлений експлойт міг скомпрометувати понад 250 мільйонів доларів.

Уразливість виявив мисливець за головами під псевдонімом «0xriptide». За словами 0xriptide, це могло вплинути на будь-якого користувача, який намагався перевести кошти з Ethereum на Arbitrum Nitro.

Arbitrum заплатив 0xriptide 400 ETH (близько 520,000 XNUMX доларів США) як компенсацію за повідомлення про вразливість.

0xriptide щодня складається з аналізу ImmuneFi, платформи винагород за помилки, яка запобігла зламам на суму понад 20 мільярдів доларів. Останнім часом він зосереджувався на запобіганні міжланцюжковим експлойтам, оскільки вони створюють значно більшу суму коштів під загрозою через структуру «приманки» більшості протоколів мосту, сказав він у звіт.

Його початкові пошуки експлойту Arbitrum почалися кілька тижнів тому перед оновленням Arbitrum Nitro. Під час свого початкового дослідження він виявив уразливість, через яку перехідний контракт міг приймати депозити, навіть якщо контракт було ініціалізовано раніше.

0xriptide сказав,

«Коли ви натрапляєте на an неініціалізована змінна адреси в Solidity — ви завжди маєте приділяти паузу та досліджувати далі, тому що ви ніколи не знаєте, чи її навмисно залишили неініціалізованою, чи випадково."

Міст експлуатувати 

Після копання неініціалізованої адреси 0xriptide виявив, що хакер зможе встановити свою власну адресу як міст, імітуючи фактичний контракт, і викрасти всі вхідні депозити ETH від Etheruem до Arbitrum Nitro.

Хакер мав би гнучкість: або націлитися на більші депозити ETH, щоб приховати свої дії, або розпочати атаку партизанського типу та викачати всі кошти, що надходять.

Найбільший депозит за період, коли міг статися експлойт, становив приблизно 168,000 250 ETH, або 24 мільйонів доларів. Середні депозити за будь-який 1,000-годинний період часу, коли можна було використати вразливість, становили від 5,000 до XNUMX ETH.

© 2022 The Block Crypto, Inc. Всі права захищені. Ця стаття надана лише в інформаційних цілях. Він не пропонується або не може використовуватися як юридична, податкова, інвестиційна, фінансова чи інша порада.