Injective interrompt la production de blocs pendant 4 heures lors d’un exploit de 4,9 millions de dollars et parle d’une mise à niveau

Injective n’a produit aucun nouveau bloc pendant près de quatre heures lors d’une réponse d’urgence à un exploit que les chercheurs ont retracé jusqu’à des modules centraux. Le registre a enregistré le bloc 181027005 à 16:09:59 UTC le 31 août, avant l’arrêt de la production de blocs. Injective a déclaré que la blockchain avait été mise à niveau, et non arrêtée. Injective a déclaré que son consensus, son INJ natif et les actifs stakés n’avaient pas été compromis. La fondation a déclaré que l’attaque avait affecté un petit nombre d’applications de l’écosystème utilisant des marchés d’options binaires. Le chercheur on-chain Earthling Paddy a contesté cette description de la vulnérabilité. Paddy a déclaré que l’attaque avait utilisé des messages des modules natifs d’exchange et d’assurance d’Injective. La version d’urgence a corrigé le code central en ajoutant une vérification de la dénomination du fonds d’assurance. Elle a également désactivé le règlement des options binaires sur le mainnet. QuickNode a fait état d’une hauteur de bloc bloquée pendant l’incident. Paddy a déclaré qu’un bloc antérieur avait pris environ 37 minutes. Injective a déclaré que la mise à niveau accélérée avait pris plus de temps que prévu, les validateurs et l’infrastructure de l’écosystème passant à la version d’urgence. Certains validateurs ont été temporairement incarcérés après avoir manqué la fenêtre de mise à niveau requise. Coinbase et Coins.ph ont temporairement restreint les transferts. Les données de CryptoSlate montraient qu’INJ se négociait autour de 4,80 dollars, en baisse d’environ 3% sur les 24 heures précédentes. Les chercheurs ont estimé qu’environ 4,9 millions de dollars avaient été transférés vers Ethereum par un bridge pendant l’exploit. Paddy a déclaré qu’environ ce montant restait dans le portefeuille lié à l’attaquant et n’avait pas bougé. Injective n’a pas publié d’analyse technique complète de l’incident. La fondation a déclaré que le vecteur d’attaque avait été contenu et corrigé. La fondation a déclaré qu’elle ajoutait des invariants plus robustes, une surveillance en temps réel et d’autres mesures de protection. Injective n’a pas révélé le montant finalement drainé. Injective n’a pas révélé quelle partie avait absorbé un éventuel déficit. Injective n’a pas révélé si un pool de l’écosystème qui semble avoir été renfloué avait été restauré par la fondation, les développeurs ou un autre participant. Injective maintient que ses utilisateurs n’ont pas été affectés. Le CEO Eric Chen a déclaré que les utilisateurs d’Injective n’avaient pas été affectés et que l’équipe contribuait à la récupération. L’incident a coïncidé avec une interruption de plusieurs heures de la production de blocs et a nécessité un correctif du code central.