ZetaChain оголосила аналіз інциденту: уразливість міжланцюгового передавання повідомлень спричинила втрату 330 000 доларів США

BlockBeats повідомляє, 29 квітня, ZetaChain нещодавно опублікувала звіт про аналіз події, підтвердивши, що атака 24 квітня виникла через вразливість у її міжланцюговому каналі передачі повідомлень. Атакуючий використав три взаємопов’язані проблеми: міжланцюгова система дозволяє ініціювати «будь-які виклики» з мінімальними обмеженнями; приймальний шлюзовий контракт GatewayEVM приймав більшість команд, включаючи «transferFrom»; раніше користувачі при внесенні токенів через «GatewayEVM.deposit()» надавали необмежені дозволи, які не можна було відкликати, що дозволило зловмиснику вивести токени з гаманця.

Загалом ця атака охопила 9 транзакцій на чотирьох ланцюгах: Ethereum, Arbitrum, Base і BSC, загальні збитки склали 333 868 доларів США (переважно USDC і USDT), вплинули лише на три внутрішні гаманці команд, без втрат коштів користувачів. ZetaChain заявила, що зловмисник не був випадковим гравцем, а вклав багато часу та ресурсів у підготовку, зокрема за три дні до атаки через Tornado Cash поповнював гаманець коштами та здійснював грубі зломи для імітації адреси жертви. Наразі ZetaChain вже впровадила патчі, функція міжланцюгових транзакцій буде залишатися вимкненою до завершення оновлення та перевірки.