ZetaChain informa una vulnerabilidad en la mensajería entre cadenas, pérdida de $333,868 por el ataque del 24 de abril

Mensaje de Gate News, 29 de abril — ZetaChain publicó un informe post mortem que confirma que el ataque del 24 de abril explotó vulnerabilidades en su canal de mensajería entre cadenas. El incidente tuvo como resultado una pérdida total de $333,868 (principalmente USDC y USDT) en nueve transacciones en Ethereum, Arbitrum, Base y BSC. El ataque afectó únicamente a tres monederos internos del equipo, sin que se viera afectado el dinero de los usuarios.

El ataque aprovechó tres vulnerabilidades interconectadas: el sistema entre cadenas permitía "llamadas arbitrarias" con restricciones mínimas; el contrato GatewayEVM del lado receptor aceptó la mayoría de los comandos, incluida "transferFrom"; y los usuarios que habían depositado tokens mediante "GatewayEVM.deposit()" habían concedido aprobaciones ilimitadas, no revocadas, que el atacante aprovechó para extraer tokens de los monederos.

ZetaChain señaló que el atacante no actuó de forma oportunista, sino que invirtió una cantidad significativa de tiempo y recursos en la preparación, incluyendo financiar un monedero vía Tornado Cash tres días antes del ataque y realizar ataques de fuerza bruta para hacerse pasar por direcciones de las víctimas. El protocolo ha desplegado parches, y la funcionalidad de transacciones entre cadenas permanecerá deshabilitada hasta que se completen las actualizaciones y las auditorías.