Команда Optimism выплатила более $2 млн за обнаруженную уязвимость

Разработчики Optimism, решения второго уровня для масштабирования Ethereum, устранили критическую уязвимость.

Last week we patched a critical bug in the Optimism codebase, discovered by @saurik. Here’s our official disclosure and some of the lessons we learned.https://t.co/9DbR8QBYyw

— Optimism (@optimismPBC) February 10, 2022

Баг обнаружил программист Джей Фримен в коде форка клиента Geth для Optimism. Согласно описанию, уязвимость позволяла создавать ETH в протоколе, многократно активировав функцию SELFDESTRUCT.

Фримен сообщил об ошибке команде Optimism 2 февраля. За ее раскрытие он получил максимальное вознаграждение по баунти-программе в размере $2 000 042.

Last week, I discovered (and reported) a critical bug (which has been fully patched) in @optimismPBC (a «layer 2 scaling solution» for Ethereum) that would have allowed an attacker to print arbitrary quantity of tokens, for which I won a $2,000,042 bounty. https://t.co/J6KOlU8aSW

— Jay Freeman (saurik) (@saurik) February 10, 2022

Проведенный ретроспективный анализ показал, что баг не использовался, за исключением случайной активации сотрудником Ethereum-эксплорера Etherscan. Монеты при этом выпущены не были.

«Исправление проблемы протестировано и развернуто в сетях Optimism Kovan и мейннете (включая всех провайдеров инфраструктуры) в течение нескольких часов после сообщения», — написала команда.

Разработчики также предупредили о проблеме ряд уязвимых форков Optimism и провайдеров мостов. Все проекты применили необходимые исправления.

Команда Optimism подчеркнула, что инцидент продемонстрировал важность программы вознаграждений за обнаружение багов. Примерно в эти дни подвергся взлому на 120 000 ETH (~$319 млн) кроссчейн-мост Wormhole, после чего в проекте задумались о запуске баунти-инициативы на $3,5 млн, отметили разработчики.

Напомним, в октябре 2021 года команда решения второго уровня Polygon заплатила максимальные $2 млн по программе поиска ошибок за раскрытие уязвимости, которая угрожала потерей $850 млн.