Ronin, Wormhole, Nomad: ba vụ cướp bridge khổng lồ và bài học

2022 - năm của các bridge: ba vụ cướp, ba vector khác nhau, cộng lại hơn tỷ đô la. Giáo trình hoàn hảo.

Ronin (~$620 triệu): khóa

Bridge của Axie Infinity do 9 validator xác nhận, ngưỡng - 5 chữ ký. Lazarus lấy được 4 khóa của Sky Mavis cộng khóa của validator «bên thứ ba» vốn ủy quyền cho chính đội đó. Năm chữ ký gom đủ - kho bị rút sạch. Bài học: ủy ban khóa chỉ độc lập đúng bằng mức các thành viên của nó thực sự độc lập.

Wormhole (~$320 triệu): code

Bug xác minh chữ ký cho phép kẻ tấn công «chứng minh» khoản nạp không tồn tại và mint 120 nghìn wETH từ không khí. Lỗ hổng được vốn của Jump vá, cứu bảo chứng của các biên lai. Bài học: một dòng code cross-chain gánh hàng trăm triệu; biên lai không rương - con số không.

Nomad (~$190 triệu): đám đông

Lỗi khởi tạo khiến «bằng chứng» toàn số không thành hợp lệ - và mở màn vụ cướp crowdsourcing đầu tiên trong lịch sử: hàng trăm địa chỉ sao chép giao dịch của người khai phá, thay địa chỉ nhận. Bài học: exploit có thể mở cho mọi kẻ qua đường - tốc độ phản ứng của đội quyết định tất cả.

Kết luận chung cho người dùng không đổi: bridge - chỗ quá cảnh, không phải kho chứa; tài sản bọc - biên lai trên cái rương bị cướp nhiều hơn mọi kho chứa khác của ngành.