Horizon-hack in juni 2022: Harmony meldt ongeveer 100 miljoen dollar schade

Harmony, een blockchainplatform voor de ontwikkeling en het gebruik van gedecentraliseerde apps, meldde dat op 23 juni 2022 bij een aanval op de Horizon-bridge voor ongeveer 100 miljoen dollar aan cryptoactiva was gestolen. Dat was de geschatte dollarwaarde van de buit, niet het equivalent van 1.148,63 ETH. Dit artikel behandelt de eerste berichtgeving van 24 juni.

Harmony start onderzoek

Kort na het incident lichtte Harmony de bevoegde instanties in en maakte het team de aanval bekend. Het verklaarde samen met opsporingsdiensten en digitaal forensische specialisten onderzoek te doen om de dader te identificeren en, indien mogelijk, het gestolen geld terug te halen.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Na de eerste bekendmaking publiceerde Harmony het met 0x beginnende Ethereum-adres dat volgens het team bij de aanval was gebruikt. Het deelde dat adres ook in een vervolgbericht.

https://twitter.com/harmonyprotocol/status/1540110926937894913

In de oorspronkelijke berichtgeving stond voor dit adres een saldo van 85.867,25322706327167346 ETH vermeld. Dat was een momentopname uit de eerste berichtgeving, geen huidig saldo of totaal schadebedrag.

Harmony verklaarde dat de afzonderlijk beheerde BTC-bridge, die de noodzaak van vertrouwen in tussenpersonen beperkt, niet door het incident was getroffen. Volgens het team waren de activa in die bridge en in gedecentraliseerde kluizen toen onaangetast. Dat was geen algemene garantie voor de veiligheid van alle bridgeactiva.

Het team informeerde ook beurzen en legde de Horizon-bridge tijdelijk stil om verdere overdrachten te voorkomen. Het onderzoek liep nog; de precieze oorzaak en het moment van heropening stonden niet vast. Het project verklaarde: “Het hele team staat paraat terwijl het onderzoek doorgaat.”

Harmony beloofde de gemeenschap te blijven informeren zodra het onderzoek nieuwe bevindingen opleverde.

Zorgen over bridgebeveiliging opnieuw in beeld

Het incident vestigde opnieuw de aandacht op eerdere zorgen over de ondertekeningsstructuur. De toenmalige 2-uit-4-multisig vereiste goedkeuring met twee van vier ondertekeningssleutels, niet twee van vier afzonderlijke multisigsystemen. Ape Dev, oprichter van het op crypto gerichte durfkapitaalfonds van Chainstride Capital, had begin april 2022 gewaarschuwd dat het geringe aantal vereiste ondertekenaars de bridge kwetsbaar kon maken. Die waarschuwing bewees in deze eerste onderzoeksfase niet wat de precieze aanvalsmethode was.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin van Ethereum had in januari 2022 ook de beveiligingsrisico’s van bridges tussen blockchains en de mogelijke verspreiding van risico naar andere ketens besproken. Dat was een algemene zorg over bridgeontwerpen, geen vaststelling dat alle bridges op dezelfde manier worden aangevallen of dat de oorzaak van dit incident al vaststond.

https://twitter.com/VitalikButerin/status/1479501366192132099

In de eerste berichten werden onder de gestolen tokens Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) en Tether (USDT) genoemd.

Het oorspronkelijke bericht vermeldde elf transacties tussen 07.08 en 07.26 uur Amerikaanse oostkusttijd. Dat tijdvenster en die telling behoren tot de eerste berichtgeving en vormen geen definitieve analyse van alle geldstromen. Volgens het bericht gingen de tokens naar verschillende wallets, werden ze op de gedecentraliseerde Ethereumbeurs Uniswap omgewisseld voor ETH en vervolgens samengebracht op het adres van de aanvaller.

Horizon ondersteunde activaoverdrachten tussen Harmony, Ethereum en Binance Smart Chain. De bitcoinbridge was een afzonderlijk systeem en moet bij de beschrijving van het incident daarvan worden onderscheiden. Harmony was de beheerder van Horizon.

Lees voor meer informatie onze gids over beleggen in Harmony.