Analisis Peristiwa Serangan Hacker pada Poly Network

Baru-baru ini, protokol interoperabilitas lintas rantai Poly Network mengalami serangan Hacker, yang menarik perhatian luas. Setelah analisis tim keamanan, serangan ini bukan disebabkan oleh kebocoran kunci pribadi keeper, tetapi penyerang telah memodifikasi keeper kontrak EthCrossChainData menjadi alamat yang ditentukan melalui data yang disusun dengan cermat.

Inti Serangan

Kunci serangan terletak pada fungsi verifyHeaderAndExecuteTx dari kontrak EthCrossChainManager. Fungsi ini dapat mengeksekusi transaksi lintas rantai tertentu melalui fungsi _executeCrossChainTx. Karena kepemilikan kontrak EthCrossChainData berada di bawah kontrak EthCrossChainManager, yang terakhir dapat memanggil fungsi putCurEpochConPubKeyBytes milik yang pertama untuk mengubah keeper kontrak.

Proses Serangan

1. Penyerang memanfaatkan fungsi verifyHeaderAndExecuteTx dengan memasukkan data yang dirancang dengan cermat.
2. Menjalankan panggilan fungsi putCurEpochConPubKeyBytes dari kontrak EthCrossChainData melalui fungsi _executeCrossChainTx.
3. Berhasil mengubah peran keeper ke alamat yang ditentukan oleh penyerang.
4. Setelah menyelesaikan penggantian keeper, penyerang dapat dengan bebas membentuk transaksi dan mengekstrak sejumlah dana dari kontrak.

Dampak Serangan

1. Setelah serangan selesai, karena keeper telah dimodifikasi, transaksi normal pengguna lain ditolak untuk dieksekusi.
2. Pola serangan serupa juga diterapkan di jaringan Ethereum.

Inspirasi Acara

1. Dalam desain kontrak, diperlukan mekanisme kontrol akses yang lebih ketat.
2. Pelaksanaan fungsi kunci harus memiliki langkah verifikasi ganda.
3. Melakukan audit keamanan dan deteksi kerentanan secara berkala sangat penting.
4. Keamanan operasi lintas rantai perlu mendapatkan lebih banyak perhatian dan perbaikan.

Peristiwa ini sekali lagi menyoroti pentingnya keamanan blockchain, terutama dalam skenario lintas rantai yang kompleks. Tim pengembang perlu terus meningkatkan langkah-langkah keamanan untuk menghadapi metode serangan yang semakin kompleks. Sementara itu, pengguna juga harus meningkatkan kesadaran keamanan mereka dan berhati-hati dalam berpartisipasi dalam berbagai proyek blockchain.