In het kort:
- De aanvaller stuurde 99 opnameverzoeken met de waarde nul en maakte 91 posities leeg.
- b14g zette opnames 66 minuten later stil; tegen die tijd was een deel van de buit al verplaatst.
- Ongeveer 70 procent van de gestolen CORE stond zaterdagavond nog stil in drie wallets.
Nul betekende onverwacht alles opnemen
b14g koppelt bezitters van bitcoin aan houders van CORE om extra beloningen uit staking mogelijk te maken. De CORE-tokens worden daarbij per positie in een slim contract vastgezet.
Uit on-chainonderzoek van Bitquery blijkt dat een nieuwe wallet op 31 oktober 99 opnameverzoeken tegelijk verstuurde. Bij ieder verzoek stond het bedrag op nul. De stakingcode van Core gebruikt nul echter als opdracht om het volledige beschikbare bedrag terug te geven.
b14g liet die verzoeken door, ook al had de betreffende wallet zelf geen tokens in de betrokken posities gestort. Daardoor werden 91 stakingposities in één transactie leeggemaakt en kreeg de aanvaller ruim 97 miljoen CORE.
De fout zat volgens de transactiegegevens niet in het Core-netwerk. De stakingcode voerde uit wat b14g doorgaf. Bitquery kon de broncode van b14g niet controleren en wijst daarom niet één specifieke programmeerregel als oorzaak aan.
Meeste gestolen tokens staan nog stil
Het duurde 66 minuten voordat b14g de opnamefunctie pauzeerde. In dat tijdvak werd 23,4 miljoen CORE vanuit de eerste aanvallerswallet naar nieuwe adressen gestuurd. Een deel bereikte wallets die volgens Bitquery verbonden zijn met handelsplatformen of diensten die tokens naar beurzen doorsturen.
Zaterdagavond stond ongeveer 70 procent van de buit nog altijd stil in drie wallets. b14g zegt dat handelsplatformen ongeveer 9 miljoen CORE hebben bevroren, maar zo’n blokkade gebeurt in de interne administratie van een beurs en is niet rechtstreeks op de blockchain te bewijzen.
Voor gebruikers is vooral het onderscheid tussen de app en het netwerk van belang. Core DAO zegt dat rechtstreekse staking en andere apps niet zijn geraakt. b14g stelt daarnaast dat vastgezette bitcoin niet is verdwenen. Bitquery controleerde alleen de CORE-transacties en kon die laatste claim daarom niet onafhankelijk bevestigen.