Il bridge cross-chain Ethereum di Ankr ha perso circa 304.500 dollari il 9 novembre, dopo che un attaccante ha inviato cinque richieste di prelievo fraudolente basate su un deposito già completato su Optimism.

La società di sicurezza blockchain Blockaid ha identificato per prima l'attacco, stimando le perdite iniziali in 292.000 dollari. SlowMist ha successivamente innalzato la stima a circa 304.500 dollari, attribuendo il furto a ricevute cross-chain contraffate che hanno superato i controlli di autorizzazione del bridge nonostante contenessero dettagli di transazione manipolati.

L'attaccante ha riutilizzato un deposito regolare di circa 0,0044 ankrETH effettuato il 3 novembre su Optimism. Sebbene quel trasferimento fosse già stato riscattato su Ethereum, il suo riferimento di transazione è stato riutilizzato per autorizzare cinque ulteriori prelievi che coinvolgevano asset, destinatari e importi diversi. I cinque prelievi sono stati eseguiti in circa tre minuti, spostando le riserve disponibili del bridge di diversi token verso un wallet controllato dall'attaccante. Questo schema di riutilizzo evidenzia un'esposizione strutturale nella progettazione dei bridge: quando i prelievi vengono approvati sulla base della sola ricevuta, un singolo riferimento di deposito già regolato può sostenere molteplici richieste, a meno che i controlli lato destinazione non verifichino ogni richiesta rispetto ai registri della catena di origine.

Cinque prelievi contraffati drenano le riserve del bridge

I registri on-chain mostrano che l'attaccante ha estratto circa 82,91 ankrETH, 515.206 ankrPOL e 7,98 milioni di token ANKR. Due ulteriori prelievi hanno rimosso circa 5.372 token di staking collegati a Polygon e 0,82 aETHb.

PeckShield ha tracciato gli asset rubati, stimando la perdita iniziale in circa 286.000 dollari e riportando che gran parte dei proventi è stata convertita in circa 103 ETH, per un valore di circa 217.000 dollari al momento. Le diverse stime delle perdite riflettono variazioni nelle valutazioni dei token e nei tempi di analisi di ciascuna società.

SlowMist ha identificato la vulnerabilità centrale nel processo di autorizzazione dei prelievi del bridge. Sebbene tutte e cinque le ricevute facessero riferimento alla stessa transazione originale su Optimism, ciascuna conteneva dettagli di trasferimento alterati e recava una firma valida del firmatario di consenso affidabile del bridge. Quelle firme hanno consentito alla funzione withdraw() del bridge di rilasciare asset senza verificare in modo indipendente che i prelievi richiesti corrispondessero a depositi reali sulla catena di origine.

L'architettura del bridge di Ankr si basa su un processo di notarizzazione in cui le transazioni di deposito ricevono un'autorizzazione prima che gli asset corrispondenti possano essere rilasciati su un'altra rete. Questa dipendenza da un livello di firma affidabile è diffusa nell'infrastruttura cross-chain, ed è per questo che il rigore della verifica lato destinazione — più che l'entità dei singoli depositi — determina quanta parte del valore è esposta a ogni singolo prelievo approvato.

Come l'attaccante abbia ottenuto firme valide resta irrisolto. SlowMist non ha confermato se le credenziali di firma siano state compromesse o se l'infrastruttura di autorizzazione sia stata manipolata.

I precedenti trasferimenti dai wallet degli operatori sollevano domande

Blockaid ha anche segnalato movimenti di fondi sospetti che coinvolgono wallet associati alle operazioni di Ankr su Ethereum, Arbitrum e Linea. Diverse ore prima dei prelievi dal bridge, i fondi di quei wallet erano stati accorpati in un indirizzo separato e successivamente utilizzati per finanziare l'account che ha eseguito l'exploit.

Il collegamento tra questi trasferimenti e le firme non autorizzate resta non confermato, e gli investigatori non hanno stabilito se l'attività abbia coinvolto credenziali operative compromesse o un altro metodo di attacco.

Incidenti precedenti e stato del bridge

L'exploit segue un precedente incidente relativo al contratto di liquid staking di Ankr ad agosto, quando una vulnerabilità in ankrFLOW ha consentito la creazione di token privi di copertura e perdite per circa 410.000 dollari da parte di MORE Markets. Un simile guasto di autorizzazione cross-chain ha inoltre interessato il bridge zkLink Nova a fine ottobre, con conseguenti prelievi non autorizzati per circa 786.000 dollari.

Il bridge Ethereum di Ankr inizialmente è rimasto attivo dopo l'attacco del 9 novembre, sebbene i successivi registri on-chain indichino che i prelievi sono stati sospesi alle 09:51 UTC di quella mattina. Al momento della pubblicazione Ankr non aveva emesso una dichiarazione pubblica sull'incidente né annunciato un piano di ripristino. L'origine delle firme accettate, la perdita finanziaria finale e un eventuale rimborso per gli utenti coinvolti restano non confermati. Con i prelievi sospesi e in assenza di una spiegazione ufficiale delle firme accettate, gli indicatori da monitorare nel breve termine sono la dichiarazione sull'incidente di Ankr e un eventuale piano di ripristino o rimborso, la durata della sospensione dei prelievi e gli aggiornamenti su tracciamento e perdite forniti dalle società di sicurezza che seguono i circa 103 ETH di proventi convertiti.

Fonte: Crypto Adventure