El protocolo Harmony sufrió una brecha que resultó en la pérdida de alrededor de $100 millones. Los fondos se drenaron del puente Harmony a través de un exploit que Mudit Gupta, un experto en seguridad de blockchain, describió como un truco tradicional y no de blockchain.
Gupta dijo que es por eso que los protocolos también deben centrarse en la seguridad tradicional y de blockchain.
De acuerdo con la información disponible al público en este momento, el compromiso se produjo como resultado del acceso del hacker a dos billeteras calientes que forman parte de una clave multi-sig de 5.
En su actualización sobre el hackeo, el protocolo Harmony escribió:
“El equipo de Harmony ha identificado un robo ocurrido esta mañana en el puente Horizon por un monto de aprox. $ 100 millones. Hemos comenzado a trabajar con las autoridades nacionales y especialistas forenses para identificar al culpable y recuperar los fondos robados”.
Hacker Comprometido 2 Direcciones
El equipo de armonía dijo que el hack no tendría impacto en el puente BTC sin confianza ya que los fondos están en bóvedas descentralizadas. Agregaron que los intercambios han sido notificados sobre el hackeo y que se han detenido más transacciones en el puente para evitar más retiros.
1/ El equipo de Harmony ha identificado un robo ocurrido esta mañana en el puente Horizon por un monto de aprox. $ 100 millones. Hemos comenzado a trabajar con las autoridades nacionales y especialistas forenses para identificar al culpable y recuperar los fondos robados.
Más 🧵
— Armonía 💙 (@harmonyprotocol) 23 de junio de 2022
Según Mudit Gupta, un desarrollador y experto en seguridad de 0xPolygon, tales infracciones son posibles porque el hacker comprometió 2 direcciones, lo que provocó que agotaran los fondos a los que tiene acceso el puente. Dijo que un puente permite que 2 de los 5 multisig realicen los retiros.
“El puente era esencialmente un 2 de 5 multisig. Si 2 direcciones le dijeron que transfiriera fondos a alguien, lo hizo. El hacker comprometió 2 direcciones y les hizo drenar el dinero”.
Acceso a través del servidor
Según Gupta, las direcciones comprometidas probablemente sean monederos calientes que se utilizan para transacciones legítimas. El pirata informático podría haber obtenido acceso al comprometer el servidor en el que se ejecutaban las billeteras. Dijo que esto no es diferente de cómo fue pirateada la billetera de Ronin hace unas semanas. Una vez en el servidor, el pirata informático podría ver las claves privadas almacenadas en “textos sin formato” para transacciones legítimas.
“La explotación del servidor probablemente fue un compromiso de clave SSH o ingeniería social”.
Agregó que este es un truco tradicional y no un truco de blockchain. Agregó que esta es una de las razones por las que los protocolos deben centrarse en la seguridad tradicional y en la seguridad de la cadena de bloques.
En una actualización anterior del 9 de mayo, Gupta dijo que:
“El próximo gran hackeo de blockchain no será un “hackeo de blockchain”. Concéntrese también en la seguridad tradicional y los vectores de ataque, no solo en las auditorías de contratos inteligentes, anon”.
