Il ponte Horizon della blockchain Harmony è stato oggetto di un hack che ha causato la perdita di 592 WBTC, ovvero più di 100 milioni di dollari.
L’ecosistema della DeFi è passato da un ecosistema incentrato su Ethereum a un paradigma multichain. Per adattarsi a questo nuovo paradigma, sono nate molte soluzioni ponte per trasferire fondi tra le blockchain. Possono però essere un bersaglio privilegiato per gli hacker. La blockchain Harmony lo ha imparato a sue spese con l’hacking del suo ponte Horizon.
100 mln di dollari rubati dal ponte Horizon di Harmony
Harmony una blockchain per contratti intelligenti compatibile con l’EVM. Per garantire l’interoperabilità con il resto della DeFi, Harmony ha implementato la propria soluzione bridge chiamata Horizon.
In pratica, Harmony ha due ponti. Abbiamo il ponte di Horizon che permette di collegare la sua blockchain alle blockchain di Ethereum (ETH) e BNB Smart Chain (BNB). E un altro ponte per collegare Harmony alla rete Bitcoin (BTC).
Questa mattina presto, i team di Harmony hanno avvertito la comunità che il loro Horizon Bridge era stato oggetto di un hack. In totale, gli attaccanti hanno rubato 592 WBTC, pari a più di 100 milioni di dollari ai prezzi attuali.
1/ The Harmony team has identified a theft occurring this morning on the Horizon bridge amounting to approx. $100MM. We have begun working with national authorities and forensic specialists to identify the culprit and retrieve the stolen funds.
— Harmony 💙 (@harmonyprotocol) June 23, 2022
More 🧵
Fortunatamente, questo attacco è limitato al ponte Horizon e non sembra aver colpito il ponte Bitcoin.
Questo non ha alcun impatto sul ponte BTC non attendibile; i fondi e i beni conservati nei vault decentralizzato sono al sicuro per il momento.
Il team ha rapidamente messo in pausa il ponte Horizon per limitare i danni. Hanno inoltre dichiarato di aver iniziato a “collaborare con le autorità nazionali e gli specialisti forensi” per identificare l’autore dell’attacco.
Come funzionano questi bridge?
Prima di entrare nei dettagli dell’attacco, vediamo come funzionano questi famosi ponti.
In pratica, funzionano grazie a una serie di contratti intelligenti distribuiti sulle varie blockchain da collegare.
Ecco i passi da compiere quando un utente desidera inviare fondi da Ethereum ad Harmony:
- L’utente depositerà i fondi sul contratto smart del bridge distribuito su Ethereum.
- Un comitato di convalida verificherà quindi l’esistenza del deposito su Ethereum e bloccherà i fondi sul contratto.
- Una volta bloccati i fondi nel contratto, verrà emessa la stessa quantità di gettoni. Questi token emessi sono chiamati gettoni tokenizzati, che permettono di rappresentare un token che non è nativo della blockchain Harmony.
Di conseguenza, gli smart contract distribuiti su entrambi i lati dello stesso bridge detengono grandi quantità di token. Ciò rende questi contratti dei bersagli privilegiati per gli hacker di ogni tipo.
il processo di hacking del ponte Horizon
Per il momento, i team di Harmony hanno condiviso poche informazioni sull’hack di Horizon. Poiché la blockchain è un sistema di registro pubblico, molti cyber-investigatori stanno indagando sulla questione.
Il team di @RugDocIO ha quindi indagato e pubblicato i risultati in un thread su Twitter.
1/6
— Rugdoc.io (@RugDocIO) June 24, 2022
🚨🚨UPDATE on the Harmony Bridge:
Our amazing team member @pioneerDefi did some digging on the @harmonyprotocol Horizon bridge hack for $100m
The bridge contract is: https://t.co/rTLxq7Q01p
Which is under a 5 person multi-sig contract: https://t.co/rTLxq7Q01p pic.twitter.com/2IbkpmsoIU
Dopo le indagini, questi ultimi sospettano che la chiave privata sia stata compromessa. In effetti, il contratto intelligente di Horizon Bridge è controllato da un portafoglio multisig a 5 parti.
In pratica, un portafoglio multi-firma è controllato da un numero definito di indirizzi, appartenenti a persone diverse.
Tuttavia, per firmare una transazione, il contratto Horizon Bridge richiedeva solo l’approvazione di 2 dei 5 indirizzi del multisig.
Quindi, esaminando più da vicino la transazione che ha permesso l’hack di Horizon, i team di @RugDocIO hanno notato che era stata firmata da 2 dei 5 portafogli del multisig.
Sono possibili due tesi:
Si tratta di un lavoro interno, in cui 2 dei titolari di multisig hanno deciso di rubare i fondi (teoria improbabile).
- I due indirizzi utilizzati per firmare la transazione di hacking sono stati compromessi e i loro proprietari originali ne hanno perso il controllo (teoria più probabile).
Successivamente, i team di Harmony hanno modificato le regole dello smart contract di Horizon in modo da richiedere almeno 4 indirizzi del multisig per firmare una transazione.
I team di Harmony cercheranno probabilmente di contattare il malintenzionato per negoziare la restituzione dei fondi in cambio di una ricompensa. Resta da vedere se l’attaccante sarà propenso a restituire i fondi o se preferirà tenerli con il rischio di essere trovato dalle forze dell’ordine.
