Compromiso del agujero de gusano Solana: Robo de 120.000 ETH envueltos

¿Qué ha pasado?

El 2 de febrero, al menos 120.000 ETH envueltos por valor de más de 324 millones de dólares fueron robados en un ataque al servicio Wormhole, un puente entre cadenas que permite el comercio de activos entre Solana y otras cadenas de bloques. Aproximadamente 93.750 de estos WETH se han transferido a una única dirección en la blockchain de Ethereum y están sin gastar. El ETH inicial utilizado para lanzar el ataque procedía de Tornado.cash, un servicio de anonimización/mezcla.

‍

En respuesta al robo, el equipo de Wormhole intentó ponerse en contacto con el hacker a través de mensajes incrustados en transacciones de Ethereum, ofreciendo una recompensa de 10 millones de dólares por la devolución de los fondos robados. Aún no se ha recibido respuesta del pirata informático. En caso de que el hacker decida rechazar la oferta de Wormhole y quedarse con todo el botín de ETH robado, el próximo destino de los fondos será probablemente Tornado.cash, que se ha convertido en el mezclador preferido por los hackers en blockchains basadas en cuentas.

‍

‍Varios análisis de los contratos de Wormhole han identificado los errores que permitieron el hackeo. En esencia, el hacker fue capaz de eludir un paso de verificación de firma en los contratos de Wormhole, suplantando efectivamente la autoridad para depositar los 120k WETH en Wormhole en Solana. El fallo ha sido parcheado desde entonces y Wormhole ha sido restaurado después de que el servicio anunciara que había asegurado suficiente ETH para respaldar sus WETH en una base 1:1.

La plataforma de cadenas cruzadas de TRM permite a investigadores y analistas ver este tipo de operaciones en el momento en que se producen. Los activos de Solana y Ethereum pueden verse uno al lado del otro, en el mismo gráfico. Los intercambios entre cadenas, como los que unieron el WETH robado de Solana a Ethereum, pueden trazarse automáticamente y en tiempo real, reduciendo radicalmente el tiempo necesario para comprender y responder a ataques complejos como este.

Las direcciones asociadas al exploit están activas en la plataforma de TRM para que los clientes de TRM puedan gestionar la exposición. TRM seguirá vigilando los fondos robados para apoyar los esfuerzos de recuperación de fondos. ¿Preguntas? investigations@trmlabs.com

‍