Arbitrum-basierte AFX Trade um 24 Millionen Dollar erleichtert, nachdem Brückenschlüssel kompromittiert wurden

Eine weitere Woche, ein weiterer Multi-Millionen-Dollar-Hack im DeFi-Bereich, und erneut handelt es sich um eine Off-Chain-Kompromittierung statt um eine Schwachstelle im Smart Contract.

AFX Trade, eine dezentrale Perpetuals-Börse, die in dollarbezogener Stablecoin $USDC abrechnet, wurde am Mittwoch um etwa 24,15 Millionen US-Dollar beraubt, nachdem ein Angreifer die Validator-Signaturschlüssel hinter einer Brücke kompromittiert hatte, auf der das Protokoll auf Arbitrum operiert, Blockchain-Daten zeigt.

Mit anderen Worten, der Smart Contract hat genau das getan, was er tun sollte – die Signatur verifiziert und die Transaktion ausgeführt. Das Problem lag bei den privaten Schlüsseln, die diese Signaturen erzeugten, da Angreifer die privaten Validator-Signaturschlüssel (Hot Keys, die von den Bridge-Betreibern oder Validatoren offchain gehalten werden) kompromittiert hatten.

Steven Goldfeder, Mitbegründer von Offchain Labs, das das Netzwerk entwickelt und betreibt, sagte der Die native Brücke von Arbitrum „wurde in keiner Weise gehackt oder ausgenutzt“ und die Transaktion stammt von einem Drittanbieter-Protokoll.

Ein Hack der eigenen Brücke von Arbitrum würde ein Risiko für das gesamte Layer-2-Netzwerk signalisieren, doch ein kompromittiertes Protokoll, das darauf läuft, stellt einen eingedämmten Ausfall dar.

In der eigenen Code-Logik der Brücke wurde nichts beschädigt. Brücken sind blockchain-basierte Werkzeuge zum Transfer von Token zwischen verschiedenen Netzwerken, einschließlich solcher, die ursprünglich nicht unterstützt wurden.

Die Sicherheitsfirma Blockaid erklärte, dass die On-Chain-Logik nicht umgangen wurde. Stattdessen haben fünf der Hot-Validator-Signaturen der Brücke, die die Genehmigungen für eine Auszahlung autorisieren, den Transfer von 24.150.000 $USDC an die Wallet des Angreifers freigegeben und damit das etwa zwei Drittel umfassende Quorum erfüllt, das die Brücke verlangt.

Dieser Vorfall ähnelt daher dem etwa 285 Millionen US-Dollar umfassenden Verlust beim Drift Protocol im April, bei dem Angreifer monatelang daran arbeiteten, sich privilegierten Zugriff zu verschaffen, anstatt einen Vertrag zu hacken.

Der Verlust fällt in eine harte Phase für die Kryptosicherheit, mit dem zweiten Quartal unter den schlimmsten Quartalen für Hacks in der Bilanz und eine Reihe von Arbitrum-basierten Protokollen, einschließlich des Oracle-Exploits, der zogen separate 18 Millionen US-Dollar ab von der RWA-Plattform Ostium eine Woche zuvor, in schneller Folge getroffen.

Die meisten Hacks und Exploits in diesem Jahr richteten sich gegen Offchain-Komponenten und weniger gegen Schwachstellen in den Smart Contracts selbst.

Der Vertrag behandelte die Auszahlung als gültig und gab die Gelder nach einer Streitfrist von 200 Sekunden frei. Die Brücke funktionierte genau so, wie sie konzipiert war, jedoch befanden sich die zur Autorisierung der Auszahlung erforderlichen Schlüssel offenbar in den falschen Händen.