Rosen Bridge zavrne ponarejene prenose rsBTC iz Cardano v Bitcoin

Ponavljajoče se poskuse ponareditve prenosov rsBTC iz Cardano v Bitcoin je Rosen Bridge zavrnil potem ko je napadalec nadaljeval dejavnost, ki je bila prvič zaznana že v začetku tedna. Med Cardano Over Coffee X Space je soustanovitelj Rosen Bridge Joseph Armeanio povedal, da so se zahteve pojavile kmalu po nedavnem incidentu Wanchain, vendar niso prestale preverjanja v protokolu.

Incident je preizkusil infrastrukturo, ki se uporablja za premikanje likvidnosti Bitcoina med Cardano in drugimi podprtimi omrežji. Rosen ni identificiral napadalca niti objavil dokazov, ki bi poskuse povezovali z izvajalcem, odgovornim za napad na Wanchain.

Rosen Bridge zavrača ponarejene transakcije rsBTC

Rosen Bridge je sprva sporočil, da se je njegova infrastruktura soočila z neuspešnim napadom. Ekipa je povedala, da ni prišlo do škode, čeprav bi lahko ponarejeni dogodki povzročili zagozditev dovoljenj za poročanje in zahtevali spremembe v aplikacijah Watcher in Guard.

Projekt je pozneje v drugem uradnem obvestilu potrdil, da se je napad nadaljeval. Napadalec je poskušal ustvariti ponarejene transakcije rsBTC, ki bi predstavljale prenose iz Cardano v Bitcoin, vendar zahteve niso prestale Rosenovega postopka preverjanja.

rsBTC je Rosenova žetonizirana predstavitev Bitcoina na podprtih omrežjih. Uporabniki Cardano lahko rsBTC prejmejo prek mostu, ga prenašajo med združljivimi denarnicami in ga uporabljajo v aplikacijah, ki podpirajo to sredstvo, pri čemer ohranijo pot nazaj do omrežja Bitcoin.

Armeanio je povedal, da so se ponarejene zahteve začele kmalu po incidentu mostu Wanchain, ki je vključeval 515 milijonov NIGHT. Ni trdil, da je za oba dogodka odgovoren isti napadalec, Rosen pa dejavnosti ni pripisal skupini Lazarus Group ali kateri koli drugi identificirani organizaciji.

Izogibal se je predstavitvi izida kot izjemnega dosežka za protokol. Zavrnjene ponarejene transakcije so po njegovih besedah osnovna varnostna zahteva za vsak medverižni most. Poskus napada je namesto tega prinesel preizkus v živo Rosenovih varnostnih predpostavk in prepoznal dele podporne programske opreme, ki zahtevajo dodatno utrditev.

Watchers in Guards zagotavljajo dve plasti preverjanja

Rosen Bridge je odprtokodni medverižni protokol, ki uporablja Ergo kot središče za koordinacijo in revizijo. Njegova infrastruktura podpira prenose, ki vključujejo Cardano, Bitcoin, Ergo, Dogecoin in druga integrirana omrežja.

Protokol ločuje spremljanje in odobritev transakcij med dvema skupinama, Watchers in Guards.

Watchers samostojno spremljajo dejavnost na podprtih verigah blokov in prijavljajo dogodke, povezane z mostom, v Ergo. Vsaka veriga blokov ima svojo skupino Watchers, ki skupaj deluje kot medverižni orakelj za Rosen.

Dokončno poročilo o dogodku je mogoče ustvariti šele potem, ko zadostno število različnih Watchers predloži skladne informacije. Po Rosenovi arhitekturi majhna skupina okvarjenih ali zlonamernih Watchers ne more samostojno ustvariti veljavnega poročila.

Kdor izpolnjuje zahteve glede zavarovanja, lahko upravlja Watcher. Udeleženci zagotovijo ERG in $RSN, pridobijo dovoljenja za poročanje in prejemajo nagrade za natančno poročanje o poravnanih prenosih. Dovoljenja, uporabljena za goljufivo poročanje, je mogoče zaseči, kar ustvarja finančno kazen za oddajo ponarejenih dogodkov.

Guards zagotavljajo drugo plast preverjanja. Vsak Guard neodvisno preveri dogodek, o katerem so poročali Watchers, preden se skupina uskladi glede natančne plačilne transakcije. Guards se pri lastnem pregledu ne zanašajo na preverjanje drugega Guarda, kar je namenjeno preprečevanju, da bi se ena napačna odločitev razširila skozi skupino.

Končna transakcija zahteva podpise kvoruma Guards. Posledično en sam Guard ali manjša zlonamerna skupina ne more samostojno odobriti poljubnega plačila. Njihova pooblastila so omejena tudi z večpodpisnimi pogodbami in denarnicami, medtem ko vsak Guard zaklene $RSN kot zavarovanje, ki ga je mogoče izgubiti v primerih zlonamernega vedenja.

Dokumentirani postopek pri Rosenu se nadaljuje s predložitvijo in revizijo končne podpisane transakcije. Dogodki in plačila se pregledajo, da se prepreči podvojeno izvajanje, medtem ko je mogoče goljufiva poročila Watcher odstraniti in povezana dovoljenja kaznovati.

Armeanio je povedal, da so te varnostne predpostavke med napadom ostale nedotaknjene. Ponarejene zahteve niso bile pretvorjene v odobrena plačila v Bitcoinu, čeprav so ustvarile operativno težavo z zagozdenimi dovoljenji za poročanje.

Rosen načrtuje popravke Watcher in Guard po napadu

Rosen je potrdil, da so potrebne spremembe tako v programski opremi Watcher kot Guard. Ekipa je popravke opisala kot nujne, vendar ne takojšnje, saj so obstoječe plasti preverjanja še naprej zavračale ponarejene zahteve.

Podrobna tehnična analiza po dogodku ni bila objavljena. Rosen ni razkril, koliko zahtev je bilo predloženih, kako so bile sestavljene ali natančne faze, na kateri je bil vsak poskus zavrnjen. Projekt prav tako ni napovedal datuma izdaje posodobitev za Watcher in Guard.

Armeanio je povezal incident s širšo rastjo avtomatiziranega testiranja varnosti verig blokov. Povedal je, da lahko napredni jezikovni modeli zmanjšajo čas in stroške, potrebne za pregled javne kode, ustvarijo ponavljajoče se poskuse napadov in spreminjajo vnose med iskanjem ranljivosti.

Ni navedel, da je bila umetna inteligenca potrjena kot del napada na Rosen. Njegove pripombe so se nanašale na širše varnostno okolje, v katerem avtomatizirana orodja raziskovalcem in napadalcem omogočajo pregled večjih delov odprtokodne infrastrukture in ponavljanje morebitnih izkoriščanj z nižjimi stroški.

Medverižni mostovi nosijo dodatno izpostavljenost, ker združujejo pogodbe na verigi, nadzor zunaj verige, interpretacijo dogodkov, odobritev transakcij in upravljanje ključev v več omrežjih. Napadalcu ni treba neposredno ogroziti Cardano ali Bitcoin, če je mogoče infrastrukturo mostu prepričati, da obravnava ponarejen dogodek kot veljaven.

V tem primeru so Watchers in Guards pri Rosenu preprečili, da bi ponarejene zahteve Cardano do Bitcoin dosegle izvedbo plačila. Pripravljene programske spremembe bodo odpravile zagozdena dovoljenja in okrepile ti dve komponenti, ki sta obdelovali napadalni promet.