Advertisement
Vào ngày 19 tháng 9, Arbitrum, một trong những giải pháp layer 2 phổ biến nhất cho Ethereum đã trả 400 ETH (khoảng 560.000 USD) cho một hacker mũ trắng, người này đã tìm thấy lỗ hổng tiềm ẩn trong mạng lưới.
Hacker mũ trắng, người được biết đến trên Twitter với cái tên Riptide đã tìm thấy các lỗ hổng trong các Hợp đồng thông minh được viết bằng Solidity. Riptide cho biết lỗ hổng hàng triệu đô la này có thể ảnh hưởng đến bất kỳ ai muốn chuyển tiền từ Ethereum sang Arbitrum Nitro.
No big deal just bridging a cool $470mm through the same Inbox contract 👀
Definitely should be eligible for a max bounty
— riptide (@0xriptide) September 20, 2022
Arbitrum đã kịp thời ngăn chặn thiệt hại hàng triệu đô la
Tin tặc đã quét mã Arbitrum Nitro cẩn thận vài tuần trước khi nó được phát hành, kiểm tra các hợp đồng để xem xét liệu bản cập nhật mới có thành công hay không.
Sau khi nâng cấp, Riptide nhận thấy một số lỗi và khiến the bridge không thể hoạt động bình thường. Khi kiểm tra kỹ hơn, Riptide nhận thấy rằng trình sắp xếp hộp thư đến đang gặp vấn đề về độ trễ.
“Khách hàng có thể gửi tin nhắn tới Trình sắp xếp (the Sequencer) bằng cách ký và phát hành giao dịch L1 trong Delayed Inbox của chuỗi Arbitrum. Chức năng này được sử dụng phổ biến trong việc gửi ETH hoặc token qua bridge. ”
Sau khi quét lại hợp đồng, Riptide xác nhận rằng lỗi trình tự trong hộp thư đến đã gây ra một lỗ hổng nghiêm trọng trong hợp đồng mà Riptide hoặc một hacker độc hại khác có thể lợi dụng và thu về hàng triệu đô la bằng cách chuyển các khoản tiền gửi ETH đến từ L1 đến cầu L2 vào ví của họ trước khi bị phát hiện.
My bug bounty write-up on a critical vulnerability I discovered on Arbitrum Nitro which allowed an attacker to steal all incoming ETH deposits to the L1->L2 bridge
https://t.co/WuR4RYUL3L@icodeblockchain @samiamka2 @Mudit__Gupta @0xRecruiter @BowTiedCrocodil @BowTiedDevil— riptide (@0xriptide) September 20, 2022
Tuy nhiên, Riptide đã quyết định báo cáo lỗ hổng và và đăng ký nhận phần thưởng. Một điều đáng ngạc nhiên là phần thưởng chỉ là 400 ETH thay 2 triệu đô la như mức hacker này đã đề xuất. Khi nhận được phần thưởng, hacker đã lập luận rằng nó không phù hợp với mức độ nghiêm trọng của lỗi và rủi ro mà nó kéo theo.
My point is that if you post a $2mm bounty- be prepared to pay it when it’s justified. Otherwise just say the max bounty is 400 ETH and be done with it.
Hackers watch which projects pay out and which do not
IMO not a good idea to incentivize a whitehat to go blackhat
— riptide (@0xriptide) September 20, 2022
Điều đáng nói là vào tháng 3 năm 2022, Arbitrum là nạn nhân của một vụ khai thác trong đó một hacker hoặc một nhóm tin tặc đã đánh cắp hơn 100 NFT từ TreasureDAO với định giá ít nhất là 1,4 triệu USD.
Tin tặc mũ trắng: Một công việc trong Crypto-Land
Kiểm toán độc lập có tầm quan trọng rất lớn trong hệ sinh thái tiền điện tử. Trong suốt năm qua, một số nền tảng đã quyết định trả tiền thưởng cho các tin tặc mũ trắng, những người báo cáo các lỗ hổng tiềm ẩn trong mã hoặc hợp đồng thông minh của họ.
Ví dụ: vào giữa tháng 2, Coinbase đã trả “khoản tiền thưởng lớn nhất trong lịch sử” (250.000 đô la) cho một hacker có tên “Tree of Alpha”. Người này đã giúp họ khỏi khoản lỗ hàng tỷ đô la do lỗi trong tính năng “Giao dịch nâng cao” .
Vào thời điểm đó, Tree of Alpha rất biết ơn về khoản tiền thưởng nói trên vì nó có thể phục vụ tốt cho ông khi nghỉ hưu. Tuy nhiên, giống như Riptide, ông lưu ý rằng “tiền thưởng cao hơn có thể ngăn chặn nhiều mũ xám khai thác lỗ hổng bảo mật”.
Ngoài ra, Jay “Saurik” Freeman, người làm việc với giao thức VPN phi tập trung Orchid và là một huyền thoại trong cộng đồng bẻ khóa iOS đã nhận được hơn 2 triệu đô la vì đã báo cáo lỗ hổng trong Optimism, một “giải pháp mở rộng layer 2” cho Ethereum.
