Cross Chain Poly Network został zhakowany! Zdecentralizowany projekt finansowy stracił aż 611 milionów dolarów. To największy skuteczny atak w całej dotychczasowej historii DeFi.
(Nie)spodziewany atak na Poly Network
10 sierpnia na profilu Poly Network w serwisie Twitter, pojawiła się informacja o ataku hakerskim jakiego ofiarą padła sieć. Skradziono z niej kryptowaluty o łącznej wartości 611 milionów dolarów. Hakerzy uzyskali tym samym dostęp do zasobów zgromadzonych na łańcuchach Ethereum, Binance Smart Chain oraz Polygon. Wedle szacunków, poszkodowanych zostało kilkadziesiąt tysięcy osób. Część zasobów została błyskawicznie zamrożona przez Tether. Mowa tu o równowartości blisko 33 milionów dolarów. Niestety ten sam zabiegł nie powiódł się w przypadku środków przechowywanych w stablecoinach BNB i USDC.
Poly Network to pomost pomiędzy blockchainami. Umożliwia on transfery aktywów bez wykorzystywania ekosystemu giełd. Zdaniem administratorów serwisu haker (lub hakerzy) wykorzystał lukę w połączeniach smart kontraktów. Są jednak tacy, którzy winą obarczają twórców Poly Netwok. Mudit Gupta, który jest programistą Ethereum, a przy tym badaczem bezpieczeństwa sądzi, że utrata środków to wynik zaniedbań twórców sieci i ich nieodpowiedzialnych decyzji projektowych.
Co dość ciekawe, niedługo po ataku pojawiła się nieoficjalna informacja, iż haker kontaktował się wcześniej z Poly Network wskazując na luki w ich kodzie. Został on rzekomo zignorowany.
Haker częściowo zwraca środki
Jeszcze w dniu ataku Poly Network wystosowało pismo opublikowane na Twitterze z prośbą, by haker zwrócił skradzione tokeny. Ku zaskoczeniu wszystkich, takie działanie pojawiło się ze strony napastnika już następnego dnia. Nie wiadomo jednak, czy było to efektem prośby przedstawicieli Poly Network, czy może wynikami błyskawicznego śledztwa Slowmist. Firma zajmująca się bezpieczeństwem blockchain zdołała ustalić cyfrową tożsamość sprawcy, w postaci jego adresu IP oraz e-mail. Haker korzystał najprawdopodobniej z małej chińskiej giełdy kryptowalut Hoo. Właśnie tam rzekomo gromadził środki, przy pomocy których przeprowadził ostateczny atak.
Napastnik dokonując zwrotu postanowił utworzyć token o nazwie „The hacker is ready to surrender”, który później wysłał na jeden z adresów Poly Network. W późniejszych krokach dokonał on 3 transakcji o wartościach kolejno 10, 10.000 i 1.000.000 USDC. Zwrócił on także skradzione BTC oraz pozostałe kryptowaluty.
Pojawiają się nowe hipotezy dotyczące motywów sprawcy
Suma odesłanych tokenów do sieci Poly Network wyniosła łącznie 256 milionów dolarów. Sprawa pozostaje zatem rozwojowa i dalsze transfery wciąż mogą się pojawiać. Pozostaje jednak wiele pytań. Przede wszystkim kim jest haker i czy faktycznie włamanie jest wynikiem zaniedbań deweloperów Poly Network. Jedno jest pewne, tego rodzaju ingerencje w DeFi, mają prawo w dalszej perspektywie zwrócić szczególną uwagę na aspekty bezpieczeństwa i sprawić, bo do podobnych włamań już więcej nie dochodziło.
Pikanterii całej tej historii dodaje fakt, że wraz z rozpoczęciem procesu odsyłania przejętych środków, w sieci pojawił się wywiad z hakerem. Jego słowa wskazują, że nie miał on wcale zamiaru ukraść środków, lecz zabezpieczyć je przed nieodpowiedzialnością deweloperów Poly Network. Znaleziona przez niego luka mogła być w jego opinii dostrzeżona przez każdego. Jego działanie miało zatem charakter zabezpieczający. Ponadto, jak wspomniał, nie planował całkowitego opróżnienia zasobów do których uzyskał dostęp, gdyż jego zamiarem nie było spowodowanie obniżenia wartości coinów. Jeżeli wspomniane argumenty są prawdziwe, rzucać one mogą cień na Poly Network.
