Attacco al bridge Horizon nel giugno 2022: Harmony annuncia perdite per circa 100 milioni di dollari

Harmony, piattaforma blockchain per lo sviluppo e l’utilizzo di applicazioni decentralizzate, ha annunciato il furto di circa 100 milioni di dollari in criptoattività nell’attacco al bridge Horizon del 23 giugno 2022. La cifra indicava il valore stimato in dollari delle attività sottratte, non l’equivalente di 1.148,63 ETH. Questo articolo tratta le prime notizie del 24 giugno.

Harmony avvia le indagini

Subito dopo l’incidente, Harmony ha avvisato le autorità competenti e reso pubblico l’attacco. Il team ha dichiarato di avere avviato le indagini con le autorità investigative e gli specialisti di informatica forense per identificare il responsabile e, se possibile, recuperare i fondi rubati.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Dopo il primo annuncio, Harmony ha pubblicato l’indirizzo Ethereum che inizia con 0x e che, secondo il team, era stato usato nell’attacco. Lo ha condiviso anche nel comunicato successivo.

https://twitter.com/harmonyprotocol/status/1540110926937894913

La notizia originale riportava per quell’indirizzo un saldo di 85.867,25322706327167346 ETH. Era una rilevazione delle prime ore, non il saldo attuale né l’ammontare totale del danno.

Harmony ha dichiarato che il distinto bridge BTC, progettato per ridurre la necessità di fidarsi di intermediari, non era stato colpito dall’incidente. Secondo il team, le attività in quel bridge e nei depositi decentralizzati erano allora intatte. Non si trattava di una garanzia generale sulla sicurezza di tutte le attività dei bridge.

Il team ha informato anche gli exchange e sospeso temporaneamente Horizon per impedire ulteriori trasferimenti. Le indagini erano in corso: la causa precisa e la data di riapertura non erano state stabilite. Il progetto ha affermato: «Tutto il team è impegnato mentre proseguono le indagini».

Harmony ha promesso di continuare ad aggiornare la comunità sui nuovi risultati delle indagini.

Tornano al centro i timori sulla sicurezza dei bridge

L’incidente ha riportato l’attenzione sulle precedenti preoccupazioni della comunità riguardo alla struttura delle firme. La configurazione multisig 2 su 4 richiedeva l’approvazione di due delle quattro chiavi di firma, non di due sistemi multisig su quattro. Ape Dev, fondatore del fondo di venture capital di Chainstride Capital specializzato in criptoattività, aveva avvertito all’inizio di aprile 2022 che il basso numero di firmatari necessari poteva esporre il bridge a un attacco. Questa preoccupazione non dimostrava, nella fase iniziale delle indagini, il metodo esatto dell’intrusione.

https://twitter.com/_apedev/status/1510007665400950791

Anche Vitalik Buterin di Ethereum aveva discusso nel gennaio 2022 dei rischi di sicurezza dei bridge tra blockchain e della possibile propagazione dei rischi ad altre reti. Era un’osservazione generale sulla progettazione dei bridge, non la diagnosi di un identico attacco contro tutti i bridge né l’accertamento della causa di questo episodio.

https://twitter.com/VitalikButerin/status/1479501366192132099

Tra i token indicati come sottratti nelle prime notizie figuravano Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) e Tether (USDT).

L’articolo originale riferiva di undici transazioni tra le 7:08 e le 7:26 del mattino, ora della costa orientale statunitense. L’intervallo e il conteggio appartenevano alla prima ricostruzione e non costituivano un’analisi definitiva di tutti i movimenti. Secondo la notizia, i token furono inviati a diversi wallet, scambiati con ETH sull’exchange decentralizzato Uniswap, basato su Ethereum, e poi riuniti nell’indirizzo dell’attaccante.

Horizon consentiva trasferimenti di attività tra Harmony, Ethereum e Binance Smart Chain. Il bridge Bitcoin era un sistema separato e va distinto da Horizon nella descrizione dell’incidente. Harmony gestiva Horizon.

Per approfondire, consulta la nostra guida agli investimenti in Harmony.