Un hacker robó 1,6 millones de dólares tras explotar un error poligonal

El equipo de desarrollo central detrás de Polygon ha revelado que un error crítico en uno de sus contratos fue explotado brevemente por $ 1.6 millones.

Polygon fue secretamente forzado para parchear un error crítico

Polygon, una cadena lateral de prueba de participación en Ethereum, fue pirateada brevemente a principios de este mes debido a un error que luego se solucionó a través de un hard fork el 5 de diciembre. Antes del hard fork, un hacker desconocido robó $ 1.6 millones en tokens MATIC, el equipo revelado en un jueves entrada en el blog, 24 días después del evento.

En la primera semana de diciembre, León Spacewalker y Whitehat2, dos piratas informáticos éticos asociados con la plataforma de recompensas por errores Immunefi, notificaron a Polygon sobre una vulnerabilidad. El error se encontró en la función de transferencia de su contrato MRC20 utilizado para transacciones sin gas en la red.

Después de que se informó el error, Polygon lo parcheó aprovechando un hard fork sigiloso que trabajaba junto con todos sus validadores y operadores de nodos. A pesar de que la vulnerabilidad se solucionó en unos pocos días, no pudo evitar que un hacker de sombrero negro desconocido robara 801.601 tokens MATIC por un valor de $ 1.6 millones en ese momento. En una autopsia, el equipo informó:

«A pesar de nuestros mejores esfuerzos, un pirata informático malintencionado pudo usar el exploit para robar 801.601 MATIC antes de que la actualización de la red entrara en vigencia».

La situación podría haber sido mucho peor si esto se hubiera retrasado más. Immunefi, que ayudó a Polygon a implementar la solución, fijado en una publicación de blog diferente que si no se hubiera informado el error de Polygon, los piratas informáticos malintencionados podrían haber agotado aproximadamente 9.2 mil millones de tokens MATIC valorados en alrededor de $ 20 mil millones en ese momento.

Al comentar sobre los pasos tomados por el equipo para corregir la vulnerabilidad, el cofundador de Polygon, Jaynti Kanani, dijo que el equipo «tomó las mejores decisiones posibles dadas las circunstancias».

Polygon ha pagado recompensas de alrededor de $ 3.46 millones a los piratas informáticos éticos que informaron del error. Además, el equipo dijo que asumirá el costo de los tokens MATIC robados.

Esta no fue la primera vez que se descubrió y corrigió un error crítico en Polygon. En octubre de 2021, Polygon reparó un error crítico en su Plasma Bridge que había $ 850 millones en fondos bloqueados.

Polygon no aclaró por qué el hack no se hizo público durante 24 días. Los representantes del proyecto no respondieron a la solicitud de comentarios.

Divulgación: en el momento de escribir este artículo, el autor de este artículo era propietario de ETH, MATIC y otras criptomonedas.