La spinta per tagliare le commissioni della rete Ethereum apre un bug che prosciuga i fondi nello strumento di ridimensionamento ARBITRUM

La corsa alla ricerca di un modo per ridurre i costi di transazione sulla blockchain Ethereum ha portato gli sviluppatori dello strumento di scalabilità ARBITRUM a lasciarsi sfuggire una modifica nell'ultima versione che avrebbe consentito agli aggressori di rubare tutti i fondi inviati alla rete.

ARBITRUM ha pagato circa 400 ether (530.000 dollari) all'hacker che ha segnalato la vulnerabilità.

La minaccia è stata individuata nel modo in cui le transazioni vengono inviate ed elaborate sulla rete, tramite uno strumento noto come bridge, che consente agli utenti di trasferire token tra diverse blockchain. Gli attacchi ai bridge sono diventati ONE delle più grandi minacce alla sicurezza in Cripto, con un furto di quasi 1 miliardo di dollari nell'ultimo anno.

L'hacker white-hat, noto come 0xriptide,ha detto in un post di martedì che la vulnerabilità avrebbe interessato qualsiasi depositante che avesse tentato di trasferire fondi da Ethereum ad ARBITRUM Nitro, l'ultima versione di Arbitrum.

0xriptide ha scoperto che tutte le transazioni in arrivo tramite il bridge venivano inviate tramite un messaggio alla Delayed Inbox della blockchain ARBITRUM , che eseguiva un controllo per verificare se i contratti alla base di tali transazioni erano in fase di completamento o erano già stati completati.

0xriptide ha scoperto che gli slot destinati all'archiviazione dei dati erano vuoti perché una funzione Nitro destinata a verificare le transazioni aveva modificato automaticamente i dati. Ciò avrebbe consentito a un malintenzionato di manipolare lo smart contract del bridge, accessibile a tutti perché è un software open source, e di impostare il proprio indirizzo come indirizzo del destinatario.

Una singola riga di codice avrebbe impedito a chiunque di apportare modifiche al contratto critico. Tuttavia, è stata rimossa per consentire transazioni più economiche e la vulnerabilità che ha creato T è stata notata, ha affermato 0xriptide.

"Il deposito più grande registrato sul contratto di posta in arrivo è stato di 168.000 ETH (~$250 milioni) con depositi totali tipici in un periodo di 24 ore che vanno da ~1000 a ~5000 ETH". Ciò significa che la vulnerabilità potrebbe aver potenzialmente portato a centinaia di milioni di dollari in fondi rubati.

CORREZIONE (22 settembre, 15:44 UTC):Corregge il valore in dollari dell'etere nel secondo paragrafo. L'originale era un fattore 10 troppo piccolo.