Polygon recompensa a hacker por detectar bug que ocasionaría $850 millones en pérdidas

A principios del mes de octubre Gerhard Wagner presentó ante el equipo de evaluación de Immunefi el informe de vulnerabilidad crítica que afectó al Plasma Bridge de Polygon.

De acuerdo a lo señalado por el informe postmortem presentado por Immunefy:

“La vulnerabilidad permitió a un atacante salir de su transacción de quemado desde el puente varias veces, hasta 223 veces. Había alrededor de 850 millones de dólares en riesgo. ¡Tener solo 100 mil dólares para lanzar el ataque resultaría en 22,3 millones de dólares en pérdidas! Esto significa que el DepositManager para Plasma Bridge podría agotarse con una cantidad suficiente”.

Después de 30 minutos, Polygon confirmó el error e inmediatamente comenzó a solucionar el problema subyacente. En este sentido, Polygon decidió parar la suma de 2 millones de dólares al hacker de sombrero blanco por la importante detección del bug.

✕

Una recompensa de 2 millones de dólares para evitar un hack monumental

Immunefy resalta a través de su comunicado que la suma pagada a a Gerhard representa la recompensa más alta jamás pagada en la historia:

“El [hacker de] sombrero blanco recibió un pago de 2 millones de dólares [por parte] de Polygon, que es la recompensa más alta jamás pagada en la historia. Felicitamos a Gerhard por su fantástico trabajo y excelente informe. También queremos agradecer a Polygon por una respuesta rápida y una corrección posterior”.

El hacker descubrió que el error en Plasma, le permitiría a un atacante enviar las solicitudes retiradas a Polygon una y otra vez, hasta 223 veces.

✕

Para ello, el actor malicioso necesitaría modificar algunos parámetros técnicos de los datos transaccionales, por lo cual 850 millones de dólares de los fondos de los usuarios podrían haber estado en riesgo.

Sin embargo, el equipo de Polygon agradeció a Gerhard Wagner por el descubrimiento del error y aseguró a los usuarios que sus fondos no estaban comprometidos:

“No se perdieron fondos de usuario

Gracias @g3rh4rdw4gn3r para divulgar responsablemente el error, y a @inmunefi por facilitar la recompensa por errores de 2,000,000 de dólares

Construyamos y hagamos que la web 3.0 sea más resistente a futuros ataques de este tipo”.

✕

Finalmente, Immunefi expresó satisfactoriamente que, tanto la solución del error, su despliegue en la mainnet y el pago de la recompensa había sido concretado.

La versión original y detallada de los hallazgos de Gerhard Wagner, pueden ser consultados en su blog oficial.

Origen del programa de recompensas

A través de un comunicado oficial publicado el pasado mes de septiembre en el blog oficial de Polygon, se dio a conocer el lanzamiento del programa de recompensas por errores de Polygon en Immunefi con un monto máximo de 2 millones de dólares.

“Si usted es un investigador de seguridad que busca aventurarse en el espacio blockchain, esta es su oportunidad de comprender cómo funcionan las cosas”.

El programa de recompensas por errores se centra en contratos inteligentes y, entre los eventos que busca prevenir se destacan: pérdida de fondos de los usuarios por congelación permanente o robo directo, congelación temporal de fondos por cualquier período de tiempo, manipulación de puntos de control, entre otros.

Es preciso resaltar que Immunefi es la plataforma líder de recompensas por errores en el ecosistema de las finanzas descentralizadas (DeFi).

El post Polygon recompensa a hacker por detectar bug que ocasionaría $850 millones en pérdidas fue visto por primera vez en BeInCrypto.