Блокчейн Ethereum Proof-of-Work постраждав від повторного експлойту

За даними фірми з кібербезпеки Block­Sec, блокчейн Ethereum Proof-of-Work (PoW) постраждав від повторного експлойту. В результаті зловмисник отримав додаткові 200 токенів ETHW після повторного відтворення повідомлення з ланцюга proof-of-stake на ETH­PoW. «Експлуататор (0x82fae) спочатку передав 200 WETH через OmniB­ridge ланцюжка Gno­sis, а потім відтворив те саме повідомлення в ланцюжку PoW і отримав додаткові 200 ETHW», — повідомила компанія з безпеки Block­Sec у Twit­ter. За словами спеціалістів, атака сталася через те, що міст неправильно перевірив ідентифікатор міжланцюгового повідомлення.

1/ Alert | Block­Sec detect­ed that exploiters are replay­ing the mes­sage (call­da­ta) of the PoS chain on @EthereumPow. The root cause of the exploita­tion is that the bridge does­n’t cor­rect­ly ver­i­fy the actu­al chainid (which is main­tained by itself) of the cross-chain mes­sage.

— Block­Sec (@BlockSecTeam) Sep­tem­ber 18, 2022

Офіційний акаунт ETH PoW у Twit­ter визнав атаку. Команда розробників блокчейну ETH­PoW повідомила, що з суботи намагалася зв’язатися з OmniB­ridge, щоб повідомити їх про ризики. Щоправда, там відреагували не відразу.

Had tried every way to con­tact Omni Bridge yes­ter­day.

Bridges need to cor­rect­ly ver­i­fy the actu­al ChainID of the cross-chain mes­sages.

Again this is not a trans­ac­tion replay on the chain lev­el, it is a call­da­ta replay due to the flaw of the spe­cif­ic con­tract. https://t.co/bHbYR4b2AW pic.twitter.com/NZDn61cslJ

— EthereumPoW (ETHW) Offi­cial #ETHW #ETH­PoW (@EthereumPoW) Sep­tem­ber 18, 2022

Форк ETH­PoW на блокчейні Ethereum запрацював цього тижня після The Merge. За даними Trad­ingView, після новин про експлойт у неділю вранці токен ETHW впав більш ніж на 35%.