Radix açığı 1,26 milyon dolar çekti, ağı 10 gün durdurdu

Bir Radix Engine açığı, saldırganın 31 Ağustos'ta 26 işlem üzerinden yaklaşık 1,26 milyon dolar çekmesine olanak sağladı. Bu varlıklar arasında 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 wrapped Bitcoin, 536,16 SOL ve 32,91 BNB bulunuyordu. Saldırgan ayrıca işlem ücretlerini ödemek için 13.000 XRD aldı. İncelemeciler açığın yalnızca saldırıda hedef alınan hesapları değil, herhangi bir kasayı etkileyebileceğini belirledikten sonra doğrulayıcılar Radix blokzincirini 10 günden uzun süre durdurdu.

Neden önemli

RDX Works, işlemleri işlemekten ve varlık sahipliğini uygulamaktan sorumlu yürütme katmanı Radix Engine üzerinde Haziran 2023'te yapılan bir temizlik çalışması sırasında bu açığa yol açtı. Hata, motorun kasa referanslarını ele alış biçimini değiştirdi. Böylece özel olarak hazırlanmış akıllı sözleşme kodu, sahiplik sınırını gerektiği gibi kontrol etmeden başka bir kullanıcının kasasını sıradan para çekme işlevlerine aktarabildi.

Bu durum, tek bir uygulamadaki açıktan ziyade protokol düzeyinde bir arıza yarattı. Saldırgan, çalınan varlıkları Hyperlane üzerinden Ethereum, BNB Chain ve Solana'ya taşıdı, ardından bunları ETH karşılığında sattı. Varlıklar köprü kullanılmadan önce Radix'ten zaten çekilmiş olduğu için Hyperlane tasarlandığı gibi çalıştı.

Piyasa etkisi

Doğrudan hırsızlık, potansiyel riskin tamamını yansıtmıyordu. Radix araştırmacıları kullanıcı hesaplarının, uygulamaların ve likidite havuzlarının da savunmasız kalmış olabileceği sonucuna vardı. Köprülenen varlıkların likidite havuzlarından çıkarılmasıyla ikincil kayıplar meydana geldi. Bu durum fiyatları bozdu ve başka bir hesabın milyonlarca XRD çekmesine olanak sağladı.

Açık, kusuru içeren motor çekirdeği de dahil olmak üzere Radix protokolüne yönelik Zellic'in 2024 bağımsız denetiminden de geçmişti. Geliştiriciler yetkisiz kasa referanslarına karşı kontroller eklerken doğrulayıcılar, mutabakatı engellemek için yeterli miktarda stake'i çevrimdışı bıraktı. Kullanıcı işlemleri 11 Eylül'de yeniden başladı. Radix, regresyon testleri eklediğini, güvenlik incelemelerini güçlendirdiğini ve ağ güvenliğini yeniden sağlamak için kullanılan acil durum sürecini resmileştirdiğini belirtti.