Хакер нашел лазейку, чтобы создавать неограниченное количество Ethereum: за это ему заплатили $2 млн

Разработчики проекта Opti­mism, которые занимаются масштабированием Ethereum, рассказали, как нашли баг, который позволял создавать неограниченное количество токенов криптовалюты. Сейчас такой возможности нет, но хакеру, который это обнаружил, заплатили $2 млн. Редакция MC.today рассказывает подробности.

Что случилось

Уязвимость в системе аккаунта Opti­mism позволяла создать неограниченное количество Ethereum. Эту лазейку нашел белый хакер Джей Фриман, который разработал ПО Cydia для взлома iOS.

В одном из постов в Twit­ter Фриман объяснил, что баг позволял дублировать деньги.
В команде Opti­mism рассказали, что баг позволял запускать исполнительный код Self­de­struct, который начинал пополнять счет.

Last week, I dis­cov­ered (and report­ed) a crit­i­cal bug (which has been ful­ly patched) in @optimismPBC (a “lay­er 2 scal­ing solu­tion” for Ethereum) that would have allowed an attack­er to print arbi­trary quan­ti­ty of tokens, for which I won a $2,000,042 boun­ty. https://t.co/J6KOlU8aSW

— Jay Free­man (saurik) (@saurik) Feb­ru­ary 10, 2022

За свою находку Фриман получил крупнейшую в истории награду для баг-хантеров – $2 млн. В Opti­mism проанализировали блокчейн и выяснили, что баг никто раньше не использовал. Только один раз сотрудник стартапа Ether­scan случайно смог активировать запуск кода, но он не стал пополнять свой баланс. Баг компания устранила за несколько часов.

Хотя награда Фримана – одна из самых крупных в истории, система Mak­er­DAO уже сообщила, что будет предлагать награду до $10 млн за обнаружение критических уязвимостей в своих смарт-контрактах.