Horizon-hyökkäys kesäkuussa 2022: Harmony ilmoitti noin 100 miljoonan dollarin vahingosta

Hajautettujen sovellusten kehittämistä ja käyttöä tukeva lohkoketjualusta Harmony ilmoitti, että Horizon-siltaan 23. kesäkuuta 2022 tehdyssä hyökkäyksessä varastettiin noin 100 miljoonan dollarin arvosta kryptovaroja. Summa oli varastettujen omaisuuserien arvioitu dollariarvo, ei 1 148,63 ETH:n vastine. Artikkeli käsittelee kesäkuun 24. päivän ensitietoja.

Harmony aloitti tutkinnan

Harmony ilmoitti tapahtuneesta pian asianomaisille viranomaisille ja kertoi hyökkäyksestä julkisesti. Tiimi sanoi aloittaneensa tutkinnan yhdessä viranomaisten ja digitaalisen rikosteknisen tutkinnan asiantuntijoiden kanssa tekijän tunnistamiseksi ja mahdollisuuksien mukaan varastettujen varojen palauttamiseksi.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Ensimmäisen ilmoituksen jälkeen Harmony julkaisi 0x-alkuisen Ethereum-osoitteen, jota tiimin mukaan oli käytetty hyökkäyksessä. Osoite jaettiin myös seuraavassa tiedotteessa.

https://twitter.com/harmonyprotocol/status/1540110926937894913

Alkuperäisessä uutisessa osoitteen saldoksi ilmoitettiin 85 867,25322706327167346 ETH. Luku oli ensitietojen aikainen tilannekuva, ei nykyinen saldo tai vahingon kokonaismäärä.

Harmony kertoi, ettei tapaus vaikuttanut erikseen toimivaan BTC-siltaan, joka vähentää tarvetta luottaa välikäsiin. Tiimin silloisen ilmoituksen mukaan kyseisen sillan ja hajautettujen holvien varat olivat vahingoittumattomia. Se ei ollut yleinen takuu kaikkien siltavarojen turvallisuudesta.

Tiimi ilmoitti tapahtuneesta myös pörsseille ja keskeytti Horizon-sillan toiminnan estääkseen uudet siirrot. Tutkinta jatkui, eikä tarkkaa syytä tai uudelleenavaamisen ajankohtaa ollut vahvistettu. Projekti totesi: ”Koko tiimi työskentelee asian parissa tutkinnan jatkuessa.”

Harmony lupasi tiedottaa yhteisölle tutkinnan uusista havainnoista.

Siltojen turvallisuushuolet nousivat uudelleen esiin

Tapaus nosti esiin yhteisön aiemmat huolet allekirjoitusrakenteesta. Silloinen 2/4-moniallekirjoitusjärjestely edellytti hyväksyntää kahdella neljästä allekirjoitusavaimesta, ei kahta neljästä erillisestä moniallekirjoitusjärjestelmästä. Chainstride Capitalin kryptovaroihin keskittyvän pääomasijoitusrahaston perustaja Ape Dev oli varoittanut huhtikuun 2022 alussa, että vaadittavien allekirjoittajien vähäinen määrä saattoi altistaa sillan hyökkäykselle. Tämä huoli ei vielä tutkinnan alkuvaiheessa todistanut täsmällistä hyökkäystapaa.

https://twitter.com/_apedev/status/1510007665400950791

Ethereumin Vitalik Buterin oli tammikuussa 2022 käsitellyt myös lohkoketjujen välisten siltojen turvallisuusriskejä ja riskien mahdollista leviämistä muihin ketjuihin. Kyse oli yleisestä siltarakenteita koskevasta huolesta, ei toteamuksesta, että kaikkia siltoja vastaan hyökättäisiin samalla tavalla tai että tämän tapauksen syy olisi jo selvillä.

https://twitter.com/VitalikButerin/status/1479501366192132099

Ensitiedoissa varastetuiksi mainittuihin tokeneihin kuuluivat Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) ja Tether (USDT).

Alkuperäinen uutinen ilmoitti 11 tapahtumasta kello 7.08–7.26 Yhdysvaltain itärannikon aikaa. Aikaväli ja lukumäärä olivat ensiraportin tietoja, eivät kaikkien varainsiirtojen lopullinen analyysi. Uutisen mukaan tokenit siirrettiin eri lompakoihin, vaihdettiin ETH:ksi Ethereumissa toimivassa hajautetussa Uniswap-pörssissä ja koottiin sitten hyökkääjän osoitteeseen.

Horizon tuki varojen siirtoja Harmonyn, Ethereumin ja Binance Smart Chainin välillä. Bitcoin-silta oli erillinen järjestelmä, joka on erotettava Horizonista tapausta kuvattaessa. Horizonin ylläpitäjä oli Harmony.

Lisätietoja on Harmonyyn sijoittamista käsittelevässä oppaassamme.