Jembatan Cardano milik Wanchain Ditembus, 515 Juta Token NIGHT Dicuri pada 21 Juli

Menurut BlockSec, jembatan cross-chain Cardano milik Wanchain mengalami serangan pada 21 Juli, dengan sekitar 515 juta token NIGHT dicuri dari vault jembatan.

Investigasi BlockSec mengidentifikasi penyebab utama sebagai kerentanan pada encoding pesan tanda tangan di validator TreasuryCheck. Validator tersebut membangun pesan tanda tangan dengan menggabungkan 14 redeem field yang memiliki panjang bervariasi tanpa delimiter atau prefix panjang. Akibatnya, kombinasi nilai field yang berbeda dapat menghasilkan string byte yang identik, sehingga menggunakan kembali hash yang sama serta menghasilkan tanda tangan yang valid. BlockSec memverifikasi kerentanan tersebut dengan melakukan dekompilasi bytecode Plutus V2 pada on-chain dan mendekode transaksi serangan.