Horizon-angrebet i juni 2022: Harmony oplyser tab på omkring 100 millioner dollar

Harmony, en blockchainplatform til udvikling og brug af decentraliserede apps, oplyste, at kryptoaktiver til en værdi af omkring 100 millioner dollar var blevet stjålet ved et angreb på Horizon-broen den 23. juni 2022. Beløbet var den anslåede dollarværdi af de stjålne aktiver, ikke det samme som 1.148,63 ETH. Artiklen omhandler de første oplysninger fra den 24. juni.

Harmony indledte en efterforskning

Kort efter hændelsen underrettede Harmony de relevante myndigheder og offentliggjorde angrebet. Teamet oplyste, at en efterforskning var indledt sammen med myndigheder og digitale kriminaltekniske eksperter for at identificere gerningspersonen og om muligt få de stjålne midler tilbage.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Efter den første meddelelse offentliggjorde Harmony den Ethereum-adresse, der begynder med 0x, og som teamet havde identificeret som anvendt ved angrebet. Adressen blev også delt i en opfølgende meddelelse.

https://twitter.com/harmonyprotocol/status/1540110926937894913

Den oprindelige nyhed angav adressens saldo til 85.867,25322706327167346 ETH. Det var et øjebliksbillede fra den første rapportering, ikke en aktuel saldo eller det samlede tab.

Harmony oplyste, at den særskilt drevne BTC-bro, som mindsker behovet for tillid til mellemled, ikke var ramt af hændelsen. Ifølge teamets daværende oplysninger var aktiverne på den bro og i decentraliserede depoter urørte. Det var ingen generel garanti for sikkerheden af alle aktiver på broer.

Teamet informerede også børserne og standsede Horizon-broen midlertidigt for at forhindre flere overførsler. Efterforskningen var i gang, og den præcise årsag og tidspunktet for genåbning var ikke fastslået. Projektet udtalte: ”Hele teamet er mobiliseret, mens efterforskningen fortsætter.”

Harmony lovede fortsat at orientere fællesskabet, når efterforskningen gav nye resultater.

Bekymringer om brosikkerhed får fornyet opmærksomhed

Hændelsen satte igen fokus på tidligere bekymringer om underskriftsstrukturen. Den daværende 2-af-4-multisignatur krævede godkendelse med to af fire signeringsnøgler, ikke to af fire særskilte multisignatursystemer. Ape Dev, grundlægger af Chainstride Capitals kryptorettede venturefond, havde i begyndelsen af april 2022 advaret om, at det lave antal nødvendige underskrivere kunne gøre broen sårbar. Denne bekymring beviste ikke den præcise angrebsmetode på dette tidlige tidspunkt i efterforskningen.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin fra Ethereum havde i januar 2022 også diskuteret sikkerhedsrisici ved broer mellem blockchains og muligheden for, at risici spredes til andre kæder. Det var en generel bekymring om brodesign, ikke en konklusion om, at alle broer angribes på samme måde, eller at årsagen til denne hændelse var afklaret.

https://twitter.com/VitalikButerin/status/1479501366192132099

Blandt de tokens, der blev omtalt som stjålet i de første meddelelser, var Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) og Tether (USDT).

Den oprindelige artikel angav elleve transaktioner mellem klokken 7.08 og 7.26 amerikansk østkysttid. Tidsrummet og optællingen hørte til den første rapportering og var ikke en endelig analyse af alle pengestrømme. Ifølge nyheden blev tokens sendt til forskellige wallets, vekslet til ETH på den decentraliserede Ethereum-børs Uniswap og derefter samlet på angriberens adresse.

Horizon understøttede overførsel af aktiver mellem Harmony, Ethereum og Binance Smart Chain. Bitcoin-broen var et særskilt system og skal skelnes fra Horizon i beskrivelsen af hændelsen. Harmony drev Horizon.

Læs mere i vores guide til investering i Harmony.