Polygon paga una recompensa de $ 2 millones por un error que podría haber comprometido $ 850 millones en fondos de usuario

El hacker de sombrero blanco especuló que el error podría haber sido creado por «usar el código de otra persona y no tener una comprensión del 100% de lo que hace».

Polygon paga una recompensa de 2 millones, el hacker de sombrero blanco Gerhard Wagner ha ganado $ 2 millones después de informar sobre una solución a un error de «doble gasto» potencialmente costoso en la red Polygon.

Polygon paga una recompensa de 2 millones

En una publicación de blog del 21 de octubre de Immunefi, un servicio de seguridad que ayuda a facilitar los informes de errores en proyectos financieros descentralizados, Plasma Bridge de la red Polygon corría el riesgo de que un pirata informático experto eliminara 850 millones de dólares. Según el proyecto, la vulnerabilidad habría permitido a los atacantes salir de su transacción de quemado desde el puente hasta 223 veces, convirtiendo rápidamente una cantidad como $ 4,500 en $ 1 millón de ganancias.

Immunefi informó que el exploit de doble gasto funcionó al depositar primero Ether ( ETH ) a través del Plasma Bridge y comenzar el proceso de retiro después de que se confirmó la transacción. Un pirata informático podría esperar una semana y volver a enviar los mismos retiros con la excepción de «un primer byte modificado de la máscara de la rama». Siempre que el pirata informático pudiera comenzar con $ 3.8 millones, podría haber agotado todos los fondos de $ 850 del administrador de depósitos del puente en ese momento.

recovery

Polygon acordó pagar su monto máximo por un informe de recompensa por error ($ 2 millones) luego del informe inicial de Wagner el 5 de octubre. Según la plataforma, el error ya se implementó en la red principal después de la prueba, Wagner recibió los fondos, afirmó ser «la recompensa más alta jamás pagada en la historia», y no se perdieron fondos de usuario con el exploit.

Wagner especuló en su página de Medium que el error podría deberse a «usar el código de otra persona y no tener una comprensión del 100% de lo que hace». Añadió que la solución «no era muy elegante», pero solucionó el exploit de doble gasto.