Due bridge di Ethereum perdono 31,69M$; B² ferma le ricompense

Due bridge collegati a Ethereum hanno perso un totale di 31,69 milioni di dollari a poche ore di distanza l'uno dall'altro, e un terzo protocollo, B² Network, ha sospeso lo staking di token dopo aver rilevato un accesso non autorizzato alla sua autorità di aggiornamento.

Il bridge AFX su Arbitrum ha subito il primo colpo. Blockaid ha indicato l'exploit alle 21:30 UTC del 22 luglio. Una singola transazione su Arbitrum ha spostato 24,15 milioni di USDC dal bridge gestito da AFX, un protocollo di trading decentralizzato. AFX ha immediatamente sospeso il suo bridge di custodia per USDC e ha sottolineato che l'incidente era isolato a un bridge di terze parti, non alla propria infrastruttura di trading, alla mainnet o al bridge nativo di Arbitrum.

Nei risultati preliminari pubblicati il 24 luglio, AFX ha attribuito la colpa a una "ingegneria sociale coordinata e compromissione dell'infrastruttura". Gli aggressori sembrano aver iniziato in un ambiente di sviluppo, per poi infiltrarsi nell'infrastruttura di build interna e nei sistemi dei validatori. AFX ha dichiarato che sta verificando i saldi, perseguendo il recupero dei fondi e preparando un piano di rimedio. Al 24 luglio, non aveva annunciato alcun rimborso completato o un piano di compensazione definitivo.

Ore dopo l'incidente di AFX, una transazione su Ethereum ha mostrato il bridge Verus rilasciare 1.137,45 ETH più sette trasferimenti di token. Blockaid ha valutato i pagamenti senza copertura a circa 7,54 milioni di dollari. L'analisi di SlowMist ha rilevato che il bridge ha approvato otto prelievi senza la prova che fossero garantiti da asset corrispondenti. L'azienda ha collegato il fallimento alla stessa ampia classe di validazione delle importazioni cross-chain di un exploit di maggio, ma ha affermato che i due attacchi hanno utilizzato meccanismi diversi.

L'incidente di B² Network non è stato un exploit di un bridge. La rete ha comunicato che qualcuno ha ottenuto un accesso non autorizzato all'autorità di aggiornamento del suo contratto di staking. B² ha sospeso lo staking normale durante le revisioni di sicurezza, ha affermato che il problema è stato contenuto e ha promesso un risarcimento completo agli utenti interessati. Al 24 luglio non era stata documentata alcuna restituzione. B² ha anche offerto una via di prelievo manuale: gli utenti possono richiedere il prelievo tramite il suo Discord ufficiale, con le richieste verificate per proprietà elaborate entro un giorno lavorativo. La rete non ha rivelato l'importo della perdita, quindi tale incidente è escluso dal totale delle perdite dei bridge di 31,69 milioni di dollari.

I tre eventi si sono verificati in un periodo di crescente attenzione sull'infrastruttura cross-chain. Per i trader, gli elementi da monitorare nell'immediato sono la verifica del saldo e qualsiasi piano di compensazione di AFX, e se B² riprenderà lo staking normale o estenderà il processo di uscita manuale. L'exploit del bridge Verus solleva anche interrogativi su quante altre implementazioni si basino sulla stessa logica di validazione delle importazioni.