Разработчик реализации Ark потерял 0,75 BTC из-за ошибки в регистрации

Компания Second, разработчик кошелька Bark — одной из реализаций протокола второго уровня Ark для биткоина, — подтвердила, что в понедельник потеряла 0,75 BTC (62 322 доллара ≈ 191 тыс. BYN) из собственных средств. Причиной стал эксплойт ошибки в процессе регистрации на сервере Ark.

По описанию команды, во время регистрации биткоины из основной цепочки переносятся в Ark, и этот процесс должен сопровождаться совместной подписью сервера проекта. Ошибка позволила злоумышленнику регистрировать боарды (переводы в Ark) только со своими собственными подписями, а затем выводить средства с них обратно в свой кошелёк, одновременно тратя те же VTXO из узла Second через Lightning Network.

VTXO (виртуальные выходы транзакций) — аналог UTXO в цепочке блоков биткоина: так в кошельке Ark представлены средства пользователей.

В Second заявили, что средства клиентов не пострадали, поскольку VTXO находятся на заранее подписанных путях выхода и сервер компании не может их потратить. «Архитектура системы сработала, хотя мы бы предпочли продемонстрировать это другим способом», — добавили в компании.

Исправление выпустили в течение нескольких часов после обнаружения атаки.

DoS-атака и след Blink

После первой попытки злоумышленник не остановился: во вторник команда Second сообщила об атаке типа «отказ в обслуживании» (DoS), предупредив, что она может ухудшить качество приёма платежей в сети Lightning Network на кошельках, построенных на Bark.

Кроме того, в Second заявили, что обнаружили попытку хакера задействовать биткоины, связанные с утечкой из кошелька Blink Wallet 19 сентября. Эта попытка провалилась — злоумышленнику пришлось пополнить счета со своего собственного адреса, после чего он вернулся на него.

Что такое Ark

Ark Protocol — технология второго уровня для сети Биткоин, предназначенная для быстрых и недорогих внецепочечных транзакций. Помимо Second с её Bark, над другими реализациями Ark работают и другие команды, в том числе Ark Labs.