Eine von der dezentralen Derivateplattform AFX Trade betriebene Bridge verlor am Mittwoch 24,15 Millionen USDC, nachdem eine unautorisierte Auszahlung den Validator-Genehmigungs- und Streitbeilegungsprozess durchlaufen hatte.

Blockaid entdeckte den Exploit am 22. Juli gegen 21:30 UTC. In einem X-Beitrag erklärte das Sicherheitsunternehmen, die betroffene Infrastruktur werde von AFX betrieben und man arbeite mit Arbitrum-Mitwirkenden zusammen, um das Protokoll zu kontaktieren und die gestohlenen Gelder einzudämmen: https://x.com/blockaid_/status/2080080240265621680

Vor der Transaktion hielt die Bridge etwa $24,2 Millionen in USDC. Nach der Auszahlung blieb nur wenig Stablecoin-Liquidität in der Bridge zurück.

Eine vorläufige Onchain-Analyse ergab, dass Signaturen, die mit fünf Hot-Validatoren verbunden waren, den Transfer von 24.150.000 USDC genehmigten. Diese Signaturen machten 7.142 der 10.000 Validator-Power-Einheiten der Bridge aus und überschritten damit die Zwei-Drittel-Schwelle, die zur Autorisierung einer Auszahlung erforderlich ist.

Validatorbasierte Bridges stützen sich typischerweise auf ein Quorum von Unterzeichnern und eine Anfechtungsfrist, um unautorisierte Transfers zu verhindern, bevor Vermögenswerte freigegeben werden. In diesem Fall durchlief die Anfrage anschließend ein Streitfenster von rund 200 Sekunden, bevor der Bridge-Vertrag die Gelder freigab. Zum Zeitpunkt der Veröffentlichung hatte AFX keinen technischen Postmortem-Bericht vorgelegt, der bestätigte, ob Validator-Schlüssel gestohlen, Unterzeichner kompromittiert oder eine andere Autorisierungsschwäche die Transaktion ermöglicht hatte.

Angreifer wandelt USDC in 12.467 ETH um

Der Angreifer transferierte die USDC mithilfe von Circle’s Cross-Chain Transfer Protocol von Arbitrum zu Ethereum und tauschte die Gelder anschließend in etwa 12.467 ETH.

Lookonchain gab an, dass der durchschnittliche Kaufpreis nahe $1.937 pro ETH lag: https://x.com/lookonchain/status/2080092059252486487. Die umgewandelten Vermögenswerte waren zum Abschluss der Swaps rund $24,15 Millionen wert.

Steven Goldfeder, CEO von Offchain Labs, sagte, die Transaktion sei von einem Drittprotokoll ausgegangen und Arbitrum’s native Bridge sei weder gehackt noch ausgenutzt worden: https://x.com/sgoldfed/status/2080071210847674709. Die Unterscheidung ist relevant, weil Arbitrum’s grundlegende Bridge-Infrastruktur und unabhängige Bridges auf Anwendungsebene getrennte Sicherheitsmodelle, Betreiber und Risikokontrollen haben. Das Arbitrum-Team begann, sich mit dem betroffenen Projekt abzustimmen, während es die Auszahlung untersuchte.

AFX hatte zum Zeitpunkt der Veröffentlichung keine Wiederherstellungsvereinbarung, kein Entschädigungsverfahren und keine abschließende Erklärung zu den Validator-Genehmigungen bekannt gegeben.

Bridge-Exploits erhöhen die DeFi-Verluste der Woche

Die AFX-Auszahlung folgte auf mehrere weitere Angriffe, die in derselben Woche gemeldet wurden, und verstärkte die Prüfung von Cross-Chain-Systemen sowie der Offchain-Komponenten, die viele von ihnen zur Genehmigung von Transfers verwenden. Balance Coin brach nach einem Oracle-Exploit über $915.000 bei 42DAO am 22. Juli ein, als ein manipulierter BTCB-Preis Liquidationen und die Ausgabe unterbesicherter BLC auslöste.

Wanchain deaktivierte seine Cardano-BNB Chain-Bridge, nachdem 515 Millionen NIGHT durch Transaktionen, die mit einer vermuteten Schwachstelle durch Wiederverwendung von Signaturen in Verbindung stehen, aus seiner Treasury abgeflossen waren.

Allbridge Core pausierte ebenfalls den Betrieb, nachdem ein Solana-Flash-Loan-Exploit über $1,65 Millionen die Preisbildung in seinem Stablecoin-Pool manipuliert hatte.