forklog.com
Разработчики Optimism, решения второго уровня для масштабирования Ethereum, устранили критическую уязвимость.
Last week we patched a critical bug in the Optimism codebase, discovered by @saurik. Here’s our official disclosure and some of the lessons we learned.https://t.co/9DbR8QBYyw
— Optimism (@optimismPBC) February 10, 2022
Баг обнаружил программист Джей Фримен в коде форка клиента Geth для Optimism. Согласно описанию, уязвимость позволяла создавать ETH в протоколе, многократно активировав функцию SELFDESTRUCT.
Фримен сообщил об ошибке команде Optimism 2 февраля. За ее раскрытие он получил максимальное вознаграждение по баунти-программе в размере $2 000 042.
Last week, I discovered (and reported) a critical bug (which has been fully patched) in @optimismPBC (a "layer 2 scaling solution" for Ethereum) that would have allowed an attacker to print arbitrary quantity of tokens, for which I won a $2,000,042 bounty. https://t.co/J6KOlU8aSW
— Jay Freeman (saurik) (@saurik) February 10, 2022
Проведенный ретроспективный анализ показал, что баг не использовался, за исключением случайной активации сотрудником Ethereum-эксплорера Etherscan. Монеты при этом выпущены не были.
«Исправление проблемы протестировано и развернуто в сетях Optimism Kovan и мейннете (включая всех провайдеров инфраструктуры) в течение нескольких часов после сообщения», — написала команда.
Разработчики также предупредили о проблеме ряд уязвимых форков Optimism и провайдеров мостов. Все проекты применили необходимые исправления.
Команда Optimism подчеркнула, что инцидент продемонстрировал важность программы вознаграждений за обнаружение багов. Примерно в эти дни подвергся взлому на 120 000 ETH (~$319 млн) кроссчейн-мост Wormhole, после чего в проекте задумались о запуске баунти-инициативы на $3,5 млн, отметили разработчики.
Напомним, в октябре 2021 года команда решения второго уровня Polygon заплатила максимальные $2 млн по программе поиска ошибок за раскрытие уязвимости, которая угрожала потерей $850 млн.