Et replay-angreb mod Omni bridge resulterede i, at en hacker udnyttede 200 WETH fra Ethereum PoW-kæden.
Den 18. september identificerede sikkerhedsfirmaet BlockSec et replay-angreb lanceret mod Ethereum PoW-kæden.
Angriberen overførte 200 WETH fra Ethereum PoS-kæden gennem Omni-broen. Transaktionen blev angiveligt replikeret på Ethereum PoW-kæden.
3/ Udbytteren (0x82fae) overførte først 200 WETH gennem omni-broen i Gnosis-kæden, og afspillede derefter den samme besked på PoW-kæden og fik ekstra 200 ETHW. Som følge heraf ville resten af kædekontrakten, der er indsat på PoW-kæden, blive drænet.
— BlockSec (@BlockSecTeam) September 18, 2022
Omni bridge kunne ikke validere det faktiske chainID, før transaktionen blev godkendt. Som et resultat blev PoW-kæden drænet for 200 WETH.
Ifølge sikkerhedsfirmaet Certik, angriberen har overført midlerne gennem Mexc Global til mulig udbetaling.
EthereumPoW er Safu
Fra udnyttelsens TX-hash, den ETHPoS , ETH PoW havde forskellige transaktionsdata.
ETHW Core udviklere afklaret at replay-angrebet var umuligt mod EthereumPoW, da det håndhævede EIP-155.
Ved design inkluderer EIP-155 kæde-ID'et for en transaktion for at undgå gentagelser af transaktionen på forskellige kæder.
ETHW Core tilføjede, at angrebet udnyttede en kontraktsårbarhed på Omni-broen. Broen er blevet informeret om at løse problemet.
Langsom adoption for ETHW
Siden lanceringen den 15. september, har Ethereum PoW ikke fået megen adoption fra kryptofællesskabet.
Førende børser som FTX, OKX og Bybit samlede sig for at se, at spothandel åbnede for ETHW-tokenet den 16. september. Som et resultat nåede ETHW-prisen et rekordhøjt niveau på $60.68.
Men med den generelle markedsnedgang og lav spænding efter fusionen er ETHW faldet under $5, smider over 90 % af sin all-time high gain som pressetid.
Gråtoneinvestering antydet planer at sælge sine 3.1 millioner ETHPoW airdrop-tokens. Firmaet sagde, at det vil sælge tokens og omfordele provenuet til aktionærerne.
Kilde: https://cryptoslate.com/ethereum-pow-loses-200-weth-to-omni-bridge-vulnerability-exploit/