2022年6月24日，成都链安链必应-区块链安全态势感知平台舆情监测显示，由Layer1公链Harmony开发的以太坊与Harmony间的资产跨链桥Horizon遭到攻击，损失金额约为1亿美元。目前Harmony官方已通知交易所并暂停了Horizon跨链桥。成都链安安全团队对此事件进行了分析，现与大家分享。
HarmonyBridge是一个跨链桥项目，由五个验证者节点进行操作验证，本次攻击主要原因是由于两个验证者节点的私钥疑似泄露，导致合约的confirmTransaction函数被成功调用。
Zhu Su：“FTX 2.0将盘活资本，并给那些资本被困住的人第二次机会”:3月18日消息，自称FTX 债权人（@sunil）在社交媒体上发文表示，华尔街著名投行Jefferies正在与潜在的 FTX 竞标者联系以重新启动FTX。据其透露，仅 FTX JP 就存在超 40 个投标方，FTX（国际版）则更多，FTX平台的970万个用户以及140万名债权人是投标方认为该平台最有价值的资产。
对此，三箭资本创始人Zhu Su在社交媒体上发文表示，FTX 2.0将盘活资本，给那些资金滞留在FTX无法取出的人第二次机会。[2023/3/18 13:12:20]
Anthony Pompliano：推动DeFi局的正是当初那些推动ICO局的人:10月10日消息，MorganCreekDigital联合创始人AnthonyPompliano发推特称，“推动这些DeFi局的，正是当初那些推动ICO局的人。他们当时拿走了你的钱，现在也要拿走你的钱。继续进行中。”（zycrypto）[2020/10/10]
#攻击过程
攻击者地址：
0x0d043128146654C7683Fbf30ac98D7B2285DeD00
私钥疑似泄露地址：
0xf845A7ee8477AD1FB4446651E548901a2635A915
声音 | Arca首席投资官：Bakkt的开局确实让人有些失望 但那些期望是不切实际的:资产管理公司Arca的首席投资官Jeff Dorman就Bakkt首日成交量不高的现象评价称：“Bakkt的开局确实让人有些失望，但那些期望是不切实际的。对Bakkt来说，起步缓慢但稳步增长要比起势凶猛，随后一蹶不振好得多。”（彭博社）[2019/9/25]
0x812d8622C6F3c45959439e7ede3C580dA06f8f25
被攻击合约：
0x715cdda5e9ad30a0ced14940f9997ee611496de6
声音 | 分析师：比特币的意义在于服务那些没有银行账户的人:加密货币分析师Joseph Young刚刚发推认同Stellar联合创始人Jed McCaleb所说的“大多数金融机构都不会使用比特币”。他表示：“比特币的意义不在于服务银行，而在于服务那些被孤立的无银行账户的人。”此外，像Dr. Jordan Peterson这样受到支付公司审查的内容创造者，也已经开始接受比特币的捐赠。[2019/1/2]
示例哈希：
0x6e5251068aa99613366fd707f3ed99ce1cb7ffdea05b94568e6af4f460cecd65
被攻击的transactionId:21106-21118(eth),120515-120518(bsc)
私钥泄露地址0x812d......8f25地址调用了0x715c......6de6合约的confirmTransaction函数进行操作验证，此处我们以被攻击的transactionId：21107进行分析。
可以发现在本次交易中，isConfirmed的验证返回为true。
但是我们在合约中进行验证者节点查询会发现，虽然owner有五个，但是仅有两名验证者进行了验证。
攻击者就利用这两个验证者节点成功使用external_call获取了相应的代币，并反复利用此攻击来获利。
后续项目方通过transactionId为21126的交易将验证者节点confirm通过的数量从2改为了4。
#资金追踪
本次攻击事件以太坊上损失了85,867个ETH，990个AAVE和78,500,000个AAG，BSC上损失了5,000个BNB和640,000个BUSD，共计约100,428,116美元，目前被盗资金还保存在攻击者地址。成都链安将用链必追对被盗资金进行持续追踪。
#事件总结
这次攻击事件中，攻击者利用了验证者节点验证通过需求数量较少的情况，利用两个验证者节点从而盗取了上亿美金的资产。建议项目方在设计验证者节点验证数量需求尽量选择较多节点，并且做好验证者节点的节点安全。此外建议项目上线前选择专业的安全审计公司进行全面的安全审计，规避安全风险。
来源：金色财经
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。