Em 9 de agosto, uma ponte conectando o XRP Ledger e o Coreum (agora rebatizado como tx) perdeu cerca de 200.000 XRP depois que um atacante enganou seu sistema de verificação de depósitos, fazendo-o tratar uma transferência de carteira para carteira como um depósito real.
A ponte foi interrompida desde então, e tanto o operador quanto pesquisadores externos rastrearam a falha para o software do lado do Coreum, em vez de algo no próprio XRP Ledger.
O que Aconteceu e Como o Alerta Foi Emitido
O primeiro aviso público veio de um trader postando como playa, que sinalizou que a conta XRPL da ponte rxXXXeMX8Gy5YvibvGLnQJ1XKKD7UswM1 estava perdendo fundos e apontou a configuração DefaultRipple da conta como a causa.
Playa disse que o saldo havia caído de 93.700 XRP para 77.200 XRP em minutos, uma leitura feita de um intervalo de onze minutos do que acabou sendo um esvaziamento de noventa e sete minutos.
Outro usuário, Vet, contestou no mesmo tópico, escrevendo que “a razão é que a ponte coreum estava sendo explorada ativamente.” Playa mais tarde concordou, postando, “Eu estava com pressa quando postei e não investiguei adequadamente.”
A equipe do tx confirmou a exploração em um comunicado, dizendo que seu software “registrou incorretamente transações que nunca realmente entregaram nenhum XRP à ponte.”
Uma análise técnica de Reza Bashash detalhou o mecanismo: o atacante enviou o próprio token embrulhado da ponte entre duas de suas próprias carteiras, anexou um memo de depósito da ponte e, como o token é emitido pela ponte, a transferência apareceu em seu histórico e foi lida como um depósito genuíno.
Os relayers aprovaram, ativos não garantidos foram cunhados do lado do Coreum, e o atacante retirou XRP real contra eles. Bashash estimou o total em 198.715,88 XRP, convertido para ETH, roteado através do THORChain e, por fim, enviado para o Tornado Cash.
A tx diz que a vulnerabilidade foi identificada, a ponte permanece parada e apresentou um relatório ao Centro de Queixas de Crimes na Internet do FBI. Nenhum outro ativo da ponte foi afetado, e o operador diz que um plano para compensar os usuários ainda está sendo elaborado.
Uma Análise Mais Profunda, e um Mercado Já Sob Pressão
Uma revisão posterior na cadeia encontrou a mesma causa raiz de um ângulo diferente: 21 relayers separados do Coreum atestaram o mesmo depósito fantasma, permitindo que o atacante cunhasse ativos da ponte sem nada que os garantisse, e então repetiu o truque com quantias crescentes antes de sacar.
Cada pagamento que se seguiu no XRPL Ledger carregou uma multisignatura válida do próprio quórum de relayers da ponte, razão pela qual a explicação do DefaultRipple não se sustentou uma vez que os dados da transação foram verificados. O XRP nativo não tem linha de confiança para seguir em frente, e a bandeira governa apenas os tokens emitidos pela ponte.
A exploração ocorreu enquanto o XRP já estava em queda. O token está perto de $1,02, próximo de uma mínima de 21 meses, caindo cerca de 4,4% esta semana, enquanto o Bitcoin caiu para cerca de $64.000 e o mercado de criptomoedas mais amplo perdeu cerca de $40 bilhões em um dia.
Fonte: CryptoPotato
