Radix: trzyletnia luka wyssała 1,26 mln USD i zatrzymała sieć na 10 dni

Sieć Radix ujawniła 17 września, że trzyletnia luka w silniku Radix Engine pozwoliła 31 sierpnia przejąć aktywa o wartości około 1,26 mln dolarów, a walidatory zatrzymały sieć na ponad 10 dni. Fundacja Radix opisała szczegóły incydentu w oficjalnym raporcie.

Błąd wprowadził w czerwcu 2023 r. zespół RDX Works podczas porządkowania kodu Radix Engine, warstwy oprogramowania, która wykonuje transakcje i pilnuje własności aktywów. Luka pozwalała transakcji wskazać sejf (vault) innego użytkownika po wewnętrznym adresie i wywołać zwykłe funkcje wypłaty z pominięciem kontroli właścicielskiej. Wadę wykryto dopiero po ponad trzech latach, gdy 31 sierpnia napastnik przeprowadził 26 transakcji eksploitacyjnych w niecałą godzinę.

Co dokładnie ukradziono

Według rekonstrukcji ledgera sporządzonej przez społeczność napastnik pobrał około 458 915 USDC, 72 420 USDT, 61,08 ETH, 6,35 wrapped Bitcoin, 536,16 SOL i 32,91 BNB, warte łącznie około 1,26 mln dolarów według cen z 31 sierpnia. Do opłacenia transakcji wziął też 13 000 XRD z cudzego sejfu. Skradzione aktywa przeprowadził przez Hyperlane na Ethereum, BNB Chain i Solanę, a następnie wymienił na ETH. Radix podkreśla, że Hyperlane działała prawidłowo i żaden klucz prywatny nie został przejęty: błąd leżał w samym Radix Engine.

Dziesięć dni awaryjnego postoju sieci

Gdy tylko wykryto atak, walidatory celowo wyłączyły z konsensusu na tyle udziałów walidatorskich, że sieć nie mogła przetwarzać kolejnych transakcji. To zatrzymało drenaż, ale położyło całą sieć na ponad 10 dni. Poprawka protokołu, która odrzuca użycie cudzego odnośnika sejfu przy zwykłej wypłacie, weszła w życie 11 września i wtedy wróciły transakcje użytkowników.

Zespół Zellic audytował protokół Radix w 2024 r., w tym jądro silnika zawierające defekt, i nie wykrył autoryzacyjnej luki. Śledczy Radix uznali z kolei, że ta sama wada mogła być użyta przeciwko dowolnemu sejfowi w sieci, więc realna strata nie wyczerpuje potencjalnego ryzyka. W zdestabilizowanych pulach płynności inny rachunek wyciągnął miliony XRD, wykorzystując zafałszowane ceny.

Radix zapowiedział testy regresji, wzmocnienie przeglądu bezpieczeństwa i formalizację procedury awaryjnej, którą walidatory zastosowały, by przerwać działanie sieci. Tożsamość napastnika pozostaje nieznana.