Хакер в белой шляпе предположил, что ошибка могла возникнуть из-за «использования чужого кода и отсутствия 100% понимания того, что он делает».
Хакер в белой шляпе Герхард Вагнер заработал 2 миллиона долларов после того, как сообщил о решении потенциально дорогостоящей ошибки «двойной траты» в сети Polygon.
В сообщении, опубликованном 21 октября в блоге Immunefi, службы безопасности, которая помогает облегчить сообщения об ошибках в децентрализованных финансовых проектах, говорится, что плазменный мост сети Polygon подвергался риску изъятия 850 миллионов долларов США осведомленным хакером. По данным проекта, уязвимость позволила бы злоумышленникам вывести транзакцию сгорания из моста до 223 раз, быстро превратив сумму вроде $4 500 в $1 млн. профи.
Immunefi сообщил, что эксплойт двойной траты работал, если сначала внести Эфир (ETH) через Плазменный мост и начать процесс вывода после подтверждения транзакции. Затем хакер мог подождать неделю и повторно отправить те же самые операции по снятию средств, за исключением «измененного первого байта маски ветвления». При условии, что хакеру удалось начать с 3,8 миллиона долларов, он мог потенциально вывести все 850 долларов из средств, находившихся на тот момент в распоряжении управляющего депозитом моста.
Polygon согласился выплатить максимальную сумму за сообщение об ошибке — 2 миллиона долларов — после первоначального сообщения Вагнера 5 октября. По данным платформы, ошибка уже была развернута в основной сети после тестирования, Вагнер получил средства, которые, как утверждается, являются «самым высоким баунти в истории», а средства пользователей не были потеряны в результате использования эксплойта.
Вагнер предположил на своей странице на Medium, что ошибка может быть вызвана «использованием чужого кода и отсутствием 100% понимания того, что он делает». Он добавил, что решение было «не очень элегантным», но исправляло эксплойт двойной траты.
До этой последней выплаты в размере 2 млн. долларов крупнейшим вознаграждением для хакеров «белых шляп» был программист Александр Шлиндвейн, который в сентябре обнаружил уязвимость в протоколе Belt Finance и получил 1,05 млн. долларов. Однако Государственный департамент США может побить этот рекорд, если хакер сможет передать информацию о подозреваемых в терроризме, экстремистах и спонсируемых государством хакерах — правительство заявило, что предложит вознаграждение до 10 миллионов долларов.
Marcus Aurelius
Комментировать