Horizon-angrepet i juni 2022: Harmony oppgir tap på omkring 100 millioner dollar

Harmony, en blokkjedeplattform for utvikling og bruk av desentraliserte applikasjoner, opplyste at kryptoeiendeler verdt omkring 100 millioner dollar var stjålet i et angrep mot Horizon-broen 23. juni 2022. Beløpet var den anslåtte dollarverdien av de stjålne eiendelene, ikke tilsvarende 1 148,63 ETH. Artikkelen omtaler de første meldingene fra 24. juni.

Harmony startet etterforskning

Kort etter hendelsen varslet Harmony de relevante myndighetene og offentliggjorde angrepet. Teamet opplyste at en etterforskning var startet sammen med myndigheter og eksperter på digital kriminalteknikk for å identifisere gjerningspersonen og om mulig hente tilbake de stjålne midlene.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Etter den første kunngjøringen publiserte Harmony Ethereum-adressen som begynner med 0x, og som teamet hadde identifisert som brukt i angrepet. Adressen ble også delt i en oppfølgende melding.

https://twitter.com/harmonyprotocol/status/1540110926937894913

Den opprinnelige meldingen oppga adressens saldo til 85 867,25322706327167346 ETH. Det var et øyeblikksbilde fra den første rapporteringen, ikke en nåværende saldo eller et samlet skadebeløp.

Harmony sa at den separat drevne BTC-broen, som reduserer behovet for tillit til mellomledd, ikke var rammet. Ifølge teamets daværende opplysninger var eiendelene på den broen og i desentraliserte hvelv urørt. Det var ingen generell garanti for sikkerheten til alle eiendeler på broer.

Teamet informerte også børsene og stanset Horizon-broen midlertidig for å hindre flere overføringer. Etterforskningen pågikk fortsatt, og den nøyaktige årsaken og tidspunktet for gjenåpning var ikke fastslått. Prosjektet uttalte: «Hele teamet er mobilisert mens etterforskningen fortsetter.»

Harmony lovet å holde fellesskapet orientert etter hvert som etterforskningen ga nye funn.

Bekymringer om brosikkerhet får ny oppmerksomhet

Hendelsen satte søkelyset på tidligere bekymringer om signeringsstrukturen. Den daværende 2-av-4-multisignaturen krevde godkjenning med to av fire signeringsnøkler, ikke to av fire separate multisignatursystemer. Ape Dev, grunnlegger av Chainstride Capitals kryptorettede venturefond, hadde tidlig i april 2022 advart om at det lave antallet nødvendige underskrivere kunne gjøre broen sårbar. Den bekymringen beviste ikke den nøyaktige angrepsmetoden på dette tidlige stadiet av etterforskningen.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin fra Ethereum hadde i januar 2022 også diskutert sikkerhetsrisikoer ved broer mellom blokkjeder og muligheten for at risiko spres til andre kjeder. Dette var en generell bekymring om brodesign, ingen konklusjon om at alle broer angripes på samme måte eller at årsaken til denne hendelsen var avklart.

https://twitter.com/VitalikButerin/status/1479501366192132099

Blant tokenene som ble omtalt som stjålet i de første meldingene, var Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) og Tether (USDT).

Den opprinnelige artikkelen oppga elleve transaksjoner mellom klokken 07.08 og 07.26 amerikansk østkysttid. Tidsrommet og antallet tilhørte den første rapporteringen og var ingen endelig analyse av alle pengebevegelsene. Ifølge meldingen ble tokenene sendt til ulike lommebøker, vekslet til ETH på den desentraliserte Ethereum-børsen Uniswap og deretter samlet på angriperens adresse.

Horizon støttet overføring av eiendeler mellom Harmony, Ethereum og Binance Smart Chain. Bitcoin-broen var et separat system og må skilles fra Horizon når hendelsen beskrives. Harmony drev Horizon.

Les mer i vår veiledning om investering i Harmony.