Am 9. August verlor eine Brücke, die das XRP Ledger mit Coreum (jetzt umbenannt in tx) verbindet, fast 200.000 XRP, nachdem ein Angreifer das Einzahlungsprüfsystem dazu brachte, einen Wallet-zu-Wallet-Transfer als echte Einzahlung zu behandeln.
Die Brücke wurde seitdem gestoppt, und sowohl der Betreiber als auch externe Forscher haben den Fehler auf die Software auf der Coreum-Seite zurückgeführt, nicht auf etwas im XRP Ledger selbst.
Was ist passiert und wie der Alarm ausgelöst wurde
Die erste öffentliche Warnung kam von einem Trader, der sich als playa ausgab, der darauf hinwies, dass das XRPL-Konto der Brücke rxXXXeMX8Gy5YvibvGLnQJ1XKKD7UswM1 Gelder verlor und auf die DefaultRipple-Einstellung des Kontos als Ursache hinwies.
Playa sagte, dass der Kontostand innerhalb von Minuten von 93.700 XRP auf 77.200 XRP gefallen sei, eine Messung, die aus einem elfminütigen Abschnitt stammte, der sich als ein neunundneunzigminütiger Abfluss herausstellte.
Ein anderer Benutzer, Vet, widersprach im selben Thread und schrieb, dass „der Grund sei, dass die Coreum-Brücke aktiv ausgenutzt wurde.“ Playa stimmte später zu und postete: „Ich war in Eile, als ich postete und habe nicht richtig nachgeforscht.“
Das tx-Team bestätigte den Exploit in einer Erklärung und sagte, dass seine Software „Transaktionen fälschlicherweise registrierte, die niemals tatsächlich XRP an die Brücke lieferten.“
Eine technische Analyse von Reza Bashash erklärte den Mechanismus: Der Angreifer sendete den eigenen, verpackten Token der Brücke zwischen zwei eigenen Wallets, fügte eine Bridge-Deposit-Notiz hinzu, und da der Token von der Brücke ausgegeben wird, erschien die Übertragung in ihrer Historie und wurde als echte Einzahlung gelesen.
Relayer genehmigten es, unbesicherte Vermögenswerte wurden auf der Coreum-Seite geprägt, und der Angreifer zog echte XRP dagegen ab. Bashash schätzte die Gesamtsumme auf 198.715,88 XRP, umgerechnet in ETH, über THORChain geleitet und letztendlich an Tornado Cash gesendet.
Die Transaktion besagt, dass die Schwachstelle identifiziert wurde, die Brücke bleibt gestoppt, und sie hat einen Bericht beim Internet Crime Complaint Center des FBI eingereicht. Keine anderen gebridgten Vermögenswerte waren betroffen, und der Betreiber sagt, dass ein Plan zur Entschädigung der Nutzer noch ausgearbeitet wird.
Ein tieferer Blick und ein Markt, der bereits unter Druck steht
Eine spätere On-Chain-Überprüfung fand die gleiche Ursache aus einem anderen Blickwinkel: 21 separate Coreum-Relayer bestätigten dieselbe Phantom-Einzahlung, was dem Angreifer ermöglichte, Brückenvermögenswerte ohne Deckung zu prägen, und dann wiederholte er den Trick mit steigenden Beträgen, bevor er auszahlen ließ.
Jede Auszahlung, die folgte, auf dem XRPL Ledger trug eine gültige Multisignatur aus dem eigenen Relayer-Quorum der Brücke, weshalb die Erklärung von DefaultRipple nicht standhielt, sobald die Transaktionsdaten überprüft wurden. Native XRP hat von vornherein keine Vertrauenslinie, um entlang zu fließen, und die Flagge regelt nur die von der Brücke ausgegebenen Token.
Der Exploit kam, während XRP bereits fiel. Der Token liegt bei etwa $1,02, nahe einem 21-Monats-Tief, und ist diese Woche um etwa 4,4% gefallen, während Bitcoin auf etwa $64.000 fiel und der breitere Kryptomarkt an einem Tag etwa $40 Milliarden verlor.
Quelle: CryptoPotato
