Verus Bridge -hakkeri palautti 4 052 ETH mutta pitää 2,8 miljoonan dollarin bountyn
- Verus-Ethereum-sillasta varastetuista varoista palautui 4 052,4 ETH eli noin 8,5 miljoonaa dollaria.
- Hakkeri piti itsellään 1 350 ETH, arvoltaan noin 2,8 miljoonaa dollaria, neuvoteltuna bountyna.
- Palautusosuus oli 75 prosenttia kaikista sillasta tyhjennetyistä varoista.
- Verus-tiimi lupasi keskeyttää tutkinnan ja jättää syytteet nostamatta, mikäli varat palautuisivat 24 tunnissa.
Verus-tiimi tarjosi neuvotellun ratkaisun ja hakkeri tarttui siihen. Palautusprosentti paljastaa, miten DeFi-protokollat hinnoittelevat varastettujen varojen takaisinoston.
2,8 miljoonaa dollaria. Sen verran Verus Bridge -hyökkääjä sai pitää itsellään, kun hän palautti loput viime viikon iskussa varastetuista varoista takaisin protokollalle. Vaihtokauppa kirjattiin lohkoketjuun perjantaina.
Hakkeri siirsi 4 052,4 ETH, arvoltaan noin 8,5 miljoonaa dollaria, Verus-tiimin osoitteeseen. Loput 1 350 ETH eli noin 2,8 miljoonaa dollaria jäivät hyökkääjän lompakkoon ja siirtyivät myöhemmin uudelle osoitteelle. Palautusosuus oli 75 prosenttia ja hyökkääjän osuus 25 prosenttia.
Tiedon vahvisti lohkoketjuanalyysiyhtiö PeckShield, joka oli jäljittänyt varoja ensimmäisestä iskupäivästä alkaen. Tietoturvayhtiö Blockaid oli aiemmin nimennyt hyökkääjän osoitteen ja seurannut, miten varastetut ETH, USDC ja tBTC vaihdettiin lopulta 5 402 ETH:ksi – noin 11,4 miljoonan dollarin arvosta.
Palautus syntyi 24 tunnin neuvotteluikkunan jälkeen. Verus-tiimi julkaisi torstaina ehdotuksen, ja sen mukaan hyökkääjä saisi pitää osan saaliista virallisesti tunnustettuna bountyna. Vastineeksi protokolla lupasi keskeyttää tutkinnan, olla nostamatta syytteitä ja olla jatkamatta jäljitystä, mikäli varat palautuisivat määräajan sisällä.
– Protokolla lupaa keskeyttää tutkinnan ja jättää syytteet nostamatta, Verus-tiimi ilmoitti torstaina.
Ketjupalkkio (on-chain bounty)
DeFi-protokollat tarjoavat hyökkääjälle julkisesti osuuden varastetuista varoista – yleensä 10–25 prosenttia – vastineeksi loppujen palautuksesta ja lupauksesta lopettaa jäljitys. Käytäntö muuttaa rikoksen neuvoteltavaksi liiketoimeksi ja säästää protokollalta oikeudenkäyntikulut, ketjuanalyytikot ja maineriskin pitkittyvästä jahdista.
Verus-Ethereum-silta murrettiin 18. toukokuuta kello 23.55 UTC. Hyökkääjä tyhjensi sopimuksesta ETH:n, USDC:n ja tBTC:n. The Block arvioi kokonaistappioiksi lähteistä riippuen jopa 11,58 miljoonaa dollaria. Verus-projekti, joka kuvaa itseään yhteisövetoiseksi ilman pääomasijoittajia, ilmoitti iskun jälkeen keskittyvänsä sillan vahvistamiseen ja uuteen auditointiin.
Miksi hyökkääjälle maksaminen voi olla protokollan paras vaihtoehto? Vaihtoehtoisilla reiteillä on hintansa. Oikeudenkäynti ulottuu harvoin pseudonyymeihin osoitteisiin asti, ja jäljitykseen palaa lopulta laskun muodossa kehitystyöltä menetettyjä tunteja, jotka käyttäjät maksavat. 25 prosentin myönnytys varmistaa sen sijaan välittömän palautuksen, jonka voi kirjata kirjanpitoon saman päivän aikana. Neuvotellussa ratkaisussa tappio rajautuu varsin selkeästi, eivätkä kulut paisu kuukausien tutkinnaksi.
Numerot tukevat logiikkaa. Vaihtoehto olisi ollut nolla palautusta ja täysi 11,58 miljoonan dollarin tappio. 8,5 miljoonan palautus kuittaa siitä noin 73 prosenttia, ja loput voidaan kirjata neuvottelukuluiksi. Hakkerille vastaavasti 2,8 miljoonaa puhdasta saalista on melko todennäköisesti parempi kuin riski siitä, että puolet ETH:stä jäädytetään osoitteisiin pörssien yhteistyön ansiosta.
Tämä neuvottelukäytäntö on yleistynyt viime kuukausina. Mitä useammin protokollat tarjoavat bountyä, sitä enemmän hyökkääjillä on kannustin valita neuvottelu sen sijaan, että varat jäädytettäisiin pörssissä. Brian Dangin, The Blockin toimittajan, mukaan Verus-tiimi ei ollut tätä artikkelia kirjoitettaessa vielä julkisesti vahvistanut palautusta. Jää nähtäväksi, vakiintuuko 25 prosentin osuus alalle uudeksi epäviralliseksi standardiksi.
