一名白帽駭客本月初向智能合約漏洞賞金平台 Immunefi 提交一個有關 Polygon Plasma Bridge 的嚴重漏洞，這個漏洞恐導致 8.5 億美元的金額損失。所幸 Polygon 在確認漏洞後，不久之後就安全修復完畢，並向這名白帽駭客支付 200 萬美元的獎金，創下加密貨幣領域最高紀錄。
（前情提要：跨鏈橋數據｜總鎖倉額突破131億美元、DeFi TVL的6%，Polygon Bridges位居榜首）
Polygon 是以太坊上最大的側鏈網路，並經營著跨鏈橋 Plasma Bridge ，可讓用戶把資產從以太坊主網轉至 Polygon。而 Plasma Bridge 上有個安全移除機制，涉及銷毀已請求撤回主網的代幣。不過據《Cryptobriefing》報導，白帽駭客 Gerhard Wagner 5 日發現了一個安全漏洞，可以讓惡意駭客繞過 Plasma Bridge 的安全移除機制。
這種主要漏洞影響到了 WithdrawManager，這是橋接合約中的一種特定功能，用於驗證先前區塊中的銷毀交易，以便將資產撤回以太坊。
Gerhard Wagner 向智能合約漏洞賞金平台 Immunefi 報告了該漏洞， Immunefi 隨後通知了 Polygon。Immunefi 在 21 日發布的事後調查報告中指出，在確認漏洞後、通知 Polygon 後，Polygon 團隊「立即開始修復潛在問題」，並在不久之後安全修復。
Immunefi 指出，這項漏洞允許攻擊者多次從橋上退出他們的銷毀交易，最多可達 223 次，約有 8.5 億美元處於風險之中，僅僅用 10 萬美元發起攻擊，就能導致 2230 萬美元的損失。
史上最高漏洞獎金
為了感謝 Gerhard Wagner 及時發現並通報相關漏洞， Polygon 團隊給予 Gerhard Wagner 高達 200 萬美元的獎金，這是迄今為止在加密貨幣領域中最高的獎金。
事後， Immunefi 在推特上表示：
正如承諾的那樣，我們打破了另一項記錄。
Gerhard Wagner 發現了一個漏洞，如果被利用，可能會導致 Polygon 8.5 億美元的損失。
賞金支出是目前為止最大的：200 萬美元。
漏洞已修復，每個人都很安全！
所有人的真正勝利。
As promised, we broke another record. @g3rh4rdw4gn3r found a bug in @0xPolygon's plasma bridge that could have resulted in an $850m loss if exploited.
The bounty payout is the largest: $2m.
Bug fixed. Everyone is safe!
A real win for all.https://t.co/1fqd4ul3uO
— Immunefi (@immunefi) October 21, 2021
Polygon 則在推特上表示：
沒有用戶資金丟失。
謝謝 Gerhard Wagner 負責任地披露漏洞，以及 Immunefi 促成這個 200 萬美元的漏洞賞金。
讓我們構建並讓 Web 3.0 更能抵禦在未來發生的此類攻擊。
您可以在此處閱讀有關此漏洞的詳細事後分析。
No user funds were lost
Thank you @g3rh4rdw4gn3r for responsibly disclosing the bug, and @immunefi for facilitating the bug bounty of $2,000,000
Let's build and make web 3.0 more resilient from such future attacks.
You can read the detailed postmortem of the exploit here
https://t.co/svhfo2cewS
— Polygon | Aggregated (@0xPolygon) October 21, 2021
Polygon 共同創辦人 Jaynti Kanani 向《Cryptobriefing》表示，在構建 Web 3 時，安全不應該是事後才考慮的問題，他補充道， Immunefi 已經協助 Polygon 團隊「與安全研究人員聯繫，使 Polygon 的工作量證明（Proof-of-Work，PoW）網路更具韌性」。
這起事件的啟發是，應注意跨鏈橋的安全性問題。隨著各種 Layer 1 項目的爆發式成長，跨鏈橋也越來越受歡迎， 然而，許多橋都存在著重大的安全問題，導致駭客利用漏洞進行多次攻擊。
最近最引人注目的事件是，今年 8 月，跨鏈協議 Poly Network 遭遇駭客攻擊，損失金額高達 6.11 億美元，成為史上損失金額規模最大的 DeFi 駭客攻擊，所幸駭客後來竟退還了全數的竊盜資金。
相關報導
以太坊主網發生分叉！客戶端漏洞60%節點未更新，波及BSC Polygon xDai..
Polygon DeFi｜收益聚合器 PolyYeld 遭到攻擊，代幣 YELD「閃崩歸零」
PancakeBunny又被駭！Polygon版本遭閃電貸攻擊，幣價一小時失血75%
讓動區 Telegram 新聞頻道再次強大！！立即加入獲得第一手區塊鏈、加密貨幣新聞報導。
LINE 與 Messenger 不定期為大家服務
