Whitechain: Kritische Bridge-Lücke gemeldet, Bericht abgelehnt

Ein Forscher fand nach eigener Aussage eine kritische Schwachstelle in den Bridge-Verträgen von Whitechain, über die ein Angreifer Liquidität abziehen könnte. Obwohl er einen funktionierenden Proof of Concept einreichte, wurde der Bericht bei HackenProof als nicht vom Prüfumfang abgedeckt geschlossen.

Das Wichtigste

Die gemeldete Lücke betrifft die Annahme nicht standardisierter Token durch den Bridge-Vertrag.
Der Forscher entwickelte mit Foundry einen Proof of Concept für den beschriebenen Angriffspfad.
Die Ablehnung zeigt, dass Bedrohungsmodelle und der vereinbarte Prüfumfang für Bonuszahlungen entscheidend sind.

Einordnung

Der Fall verdeutlicht, wie eine technisch plausibel nachgewiesene Schwachstelle außerhalb eines definierten Bedrohungsmodells liegen und deshalb von einer Meldungsplattform abgelehnt werden kann. Für Entwicklungsteams ist insbesondere relevant, welche Token, Verträge und Angriffsfolgen in den vereinbarten Prüfumfang fallen.

Was das für Sie heisst

Direkt anwendbar

Entwicklerteams können daraus ableiten, welche Annahmen zu zugelassenen Tokens, Bridge-Grenzen und Prüfumfängen vor einer Sicherheitsprüfung ausdrücklich dokumentiert werden sollten.

Wer davon profitiert: Entwicklerinnen und Entwickler profitieren von einem besseren Ablauf für die Prüfung von Bedrohungsmodellen, Annahmen und Nachweisberichten.

Ist Ihr System von der Lücke betroffen?

Server-Betreuung mit Sicherheitsupdates: prüfen, welche Server, Pakete und Container betroffen sind, Patches einspielen, den Stand dauerhaft überwachen.