De Ethereum cross-chain brug van Ankr verloor op 9 november ongeveer $304.500 nadat een aanvaller vijf frauduleuze opnameverzoeken indiende, gebaseerd op een storting die al was afgerond op Optimism.

Het(blockchain)-beveiligingsbedrijf Blockaid identificeerde de aanval als eerste en schatte de aanvankelijke verliezen op $292.000. SlowMist verhoogde de schatting vervolgens naar ongeveer $304.500 en schreef de diefstal toe aan vervalste cross-chain receipts die de autorisatiecontroles van de brug passeerden ondanks gemanipuleerde transactiedetails.

De aanvaller hergebruikte een legitieme storting van ongeveer 0,0044 ankrETH op Optimism van 3 november. Hoewel die overdracht al op Ethereum was ingewisseld, werd de transactiereferentie hergebruikt om vijf extra opnames te autoriseren met verschillende activa, ontvangers en bedragen. De vijf opnames werden binnen ongeveer drie minuten uitgevoerd, waarbij de beschikbare voorraad van verschillende tokens van de brug naar een door de aanvaller gecontroleerde wallet werd verplaatst. Het hergebruikspatroon wijst op een structurele blootstelling in het brugontwerp: wanneer opnames worden goedgekeurd op basis van alleen een receipt, kan één afgehandelde stortingsreferentie meerdere claims ondersteunen, tenzij controles aan de doelkant elk verzoek toetsen aan de registraties van de bronchain.

Vijf vervalste opnames putten brugreserves uit

On-chain registraties tonen aan dat de aanvaller ongeveer 82,91 ankrETH, 515.206 ankrPOL en 7,98 miljoen ANKR-tokens opnam. Twee verdere opnames verwijderden ongeveer 5.372 aan Polygon gekoppelde staking-tokens en 0,82 aETHb.

PeckShield traceerde de gestolen activa, schatte het aanvankelijke verlies op ongeveer $286.000 en meldde dat het grootste deel van de opbrengst werd omgezet in ongeveer 103 ETH, ten tijde van de melding ongeveer $217.000 waard. De uiteenlopende verliesramingen weerspiegelen verschillen in tokenwaarderingen en het tijdstip van de beoordeling door elk bedrijf.

SlowMist identificeerde de centrale kwetsbaarheid in het opname-autorisatieproces van de brug. Hoewel alle vijf receipts naar dezelfde oorspronkelijke Optimism-transactie verwezen, bevatten ze elk gewijzigde overdrachtsdetails en droegen ze een geldige handtekening van de vertrouwde consensusondertekenaar van de brug. Die handtekeningen stelden de withdraw()-functie van de brug in staat activa vrij te geven zonder onafhankelijk te verifiëren dat de geclaimde opnames overeenkwamen met echte stortingen op de bronchain.

De brugarchitectuur van Ankr is afhankelijk van een notarisatieproces waarbij stortingstransacties worden geautoriseerd voordat de bijbehorende activa op een ander netwerk kunnen worden vrijgegeven. Die afhankelijkheid van een vertrouwde ondertekenlaag is wijdverspreid in cross-chain infrastructuur, en daarom bepaalt de strengheid van verificatie aan de doelkant — en niet de grootte van individuele stortingen — hoeveel waarde blootstaat aan één enkele goedgekeurde opname.

Hoe de aanvaller aan geldige handtekeningen kwam, blijft onopgelost. SlowMist heeft niet bevestigd of de ondertekenreferenties waren gecompromitteerd of dat de autorisatie-infrastructuur was gemanipuleerd.

Eerdere overdrachten van operatorwallets roepen vragen op

Blockaid signaleerde ook verdachte geldstromen bij wallets die verbonden zijn met de activiteiten van Ankr op Ethereum, Arbitrum en Linea. Enkele uren vóór de brugopnames werden fondsen uit die wallets gebundeld naar een apart adres en later gebruikt om de rekening te financieren die de exploit uitvoerde.

Het verband tussen deze overdrachten en de ongeautoriseerde handtekeningen blijft onbevestigd, en onderzoekers hebben niet vastgesteld of de activiteit gecompromitteerde operationele referenties of een andere aanvalsmethode betrof.

Eerdere incidenten en status van de brug

De exploit volgde op een apart incident met een liquid-staking-contract van Ankr in augustus, toen een kwetsbaarheid in ankrFLOW het creëren van niet-gedekte tokens mogelijk maakte en verliezen van ongeveer $410.000 bij MORE Markets veroorzaakte. Een vergelijkbare cross-chain autorisatiefout trof eind oktober ook de zkLink Nova-brug, resulterend in ongeveer $786.000 aan ongeautoriseerde opnames.

De Ethereum-brug van Ankr bleef na de aanval van 9 november aanvankelijk in bedrijf, hoewel latere on-chain registraties aangeven dat opnames rond 09:51 UTC die ochtend werden opgeschort. Ankr had ten tijde van de berichtgeving geen openbare verklaring uitgebracht of een herstelplan aangekondigd. De oorsprong van de geaccepteerde handtekeningen, het definitieve financiële verlies en een eventuele terugbetaling voor getroffen gebruikers blijven onbevestigd. Nu opnames zijn opgeschort en er nog geen officiële toelichting op de geaccepteerde handtekeningen is, zijn de aandachtspunten voor de nabije termijn de incidentverklaring van Ankr en een eventueel herstel- of terugbetalingsplan, hoe lang de opschorting van opnames van kracht blijft, en bijgewerkte tracerings- of verliescijfers van de beveiligingsbedrijven die de ongeveer 103 ETH aan omgezette opbrengsten volgen.

Bron: Crypto Adventure