Horizon-attacken i juni 2022: Harmony uppger förlust på omkring 100 miljoner dollar

Harmony, en blockkedjeplattform för utveckling och användning av decentraliserade appar, uppgav att kryptotillgångar värda omkring 100 miljoner dollar hade stulits vid en attack mot Horizon-bron den 23 juni 2022. Beloppet var det uppskattade dollarvärdet av de stulna tillgångarna, inte motsvarigheten till 1 148,63 ETH. Artikeln behandlar den första rapporteringen den 24 juni.

Harmony inleder en utredning

Kort efter incidenten underrättade Harmony berörda myndigheter och offentliggjorde attacken. Teamet uppgav att en utredning hade inletts tillsammans med brottsbekämpande myndigheter och digitala forensiker för att identifiera gärningspersonen och om möjligt återfå de stulna medlen.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Efter det första meddelandet publicerade Harmony den Ethereumadress som börjar med 0x och som teamet hade identifierat som använd vid attacken. Adressen delades också i ett uppföljande meddelande.

https://twitter.com/harmonyprotocol/status/1540110926937894913

I den ursprungliga rapporteringen angavs adressens saldo till 85 867,25322706327167346 ETH. Det var en ögonblicksbild från den första rapporteringen, inget aktuellt saldo eller totalt skadebelopp.

Harmony uppgav att den separat drivna BTC-bron, som minskar behovet av tillit till mellanhänder, inte hade påverkats av incidenten. Enligt teamets dåvarande uppgifter var tillgångarna på den bron och i decentraliserade valv orörda. Det var ingen allmän garanti för alla brotillgångars säkerhet.

Teamet informerade även börser och stoppade Horizon-bron tillfälligt för att förhindra fler överföringar. Utredningen pågick fortfarande och den exakta orsaken och tidpunkten för återöppning var inte fastställda. Projektet förklarade: ”Hela teamet är i arbete medan utredningen fortsätter.”

Harmony lovade att fortsätta informera gemenskapen när utredningen gav nya resultat.

Säkerhetsfarhågor kring broar får ny uppmärksamhet

Incidenten aktualiserade tidigare oro för signeringsstrukturen. Den dåvarande 2-av-4-multisignaturen krävde godkännande med två av fyra signeringsnycklar, inte två av fyra separata multisignatursystem. Ape Dev, grundare av Chainstride Capitals kryptoinriktade riskkapitalfond, hade i början av april 2022 varnat för att det låga antalet nödvändiga undertecknare kunde göra bron sårbar. Den varningen fastställde inte den exakta attackmetoden i detta tidiga utredningsskede.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin från Ethereum hade i januari 2022 också diskuterat säkerhetsriskerna med broar mellan blockkedjor och möjligheten att risker sprids till andra kedjor. Det var en allmän farhåga kring brokonstruktioner, ingen slutsats om att alla broar angrips på samma sätt eller att orsaken till just denna incident var klarlagd.

https://twitter.com/VitalikButerin/status/1479501366192132099

Bland de stulna token som nämndes i de första uppgifterna fanns Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) och Tether (USDT).

Den ursprungliga artikeln angav elva transaktioner mellan klockan 07.08 och 07.26 amerikansk östkusttid. Tidsfönstret och antalet hör till den första rapporteringen och är ingen slutlig analys av alla medelsrörelser. Enligt rapporteringen skickades token till olika plånböcker, växlades till ETH på den decentraliserade Ethereumbörsen Uniswap och samlades sedan på angriparens adress.

Horizon stödde överföringar av tillgångar mellan Harmony, Ethereum och Binance Smart Chain. Bitcoinbron var ett separat system och behöver skiljas från Horizon när incidenten beskrivs. Harmony drev Horizon.

Läs mer i vår guide om att investera i Harmony.