O limiar era a vulnerabilidade
A Horizon exigia duas assinaturas de cinco. Essa é uma barreira muito baixa para uma ponte que guardava cerca de US$ 100 milhões: o atacante precisa comprometer dois detentores de chave, e não uma maioria. Não há código de exploit para analisar aqui, porque nenhum foi necessário.
Compare com a Ronin
O comprometimento da Ronin três meses antes tinha um limiar nominalmente mais forte, de cinco em nove, que na prática era uma só organização. O da Harmony era honestamente de dois em cinco. Os dois falharam da mesma forma: o número de assinaturas exigido era menor do que parecia, ou simplesmente pequeno demais.
Ao avaliar uma ponte, o limiar é informação pública. Também é público se os signatários são genuinamente independentes. Esses dois fatos dizem mais do que qualquer selo de auditoria.
Linha do tempo
Somente de acréscimo. As correções são adicionadas como entrada datada própria; as entradas anteriores nunca são reescritas.
- A Harmony confirma que a ponte Horizon foi explorada e identifica os endereços afetados. Harmony
O que verificar
A Harmony publicou declarações sobre o incidente e propostas de recuperação nos próprios canais; essas comunicações são o registro definitivo.
A Conisec não hospeda nem linka ferramentas de recuperação, de revogação ou de “verificação”. Depois de um incidente público, atacantes rotineiramente semeiam exatamente esses links usando o nome de publicações que cobrem o caso. Use o canal oficial do próprio projeto afetado, linkado acima, e nada além disso.
Fontes
- Harmony, Horizon bridge incident statements (23 jun 2022)
Não é aconselhamento. Este é um resumo de fatos publicados, não orientação jurídica, tributária ou de segurança. Confira nas fontes primárias linkadas acima.
Última verificação por Conisec Staff.
