Poly Network: l’hacker prende più di 600 milioni... poi restituisce le risorse

Il 10 agosto 2021, gli asset del valore di circa 610 milioni di dollari hanno lasciato Poly Network. Sono circolati attraverso un sistema che collegava diverse blockchain. La piattaforma si trova ad affrontare un’enorme anomalia: i meccanismi che dovrebbero controllare i movimenti hanno accettato operazioni illegittime.

Le analisi tecniche descrivono una scarsa separazione dei diritti tra i contratti che gestiscono i messaggi e mantengono le informazioni di controllo. Un'operazione può influenzare un'autorità che non dovrebbe cambiare. Il difetto riguarda le regole del programma, non la creazione di bitcoin senza limiti.

Poly Network richiede alle piattaforme e agli operatori del settore di segnalare o bloccare le risorse. Tether congela alcuni dei token interessati. I movimenti pubblici consentono di seguire il bottino; essi non forniscono, da soli, l’identità civile della persona che controlla gli indirizzi.

Poi il caso cambia direzione. L'attaccante inizia a restituire fondi e scambia messaggi sulla blockchain. Le restituzioni sono effettuate in più fasi, in particolare da dispositivi che richiedono più chiavi. Un trasferimento a un indirizzo comune non significa ancora che gli utenti possano ottenere immediatamente i loro soldi indietro.

Le analisi e gli annunci successivi descrivono il rendimento di quasi tutti gli asset. L'attaccante presenta la sua versione delle sue intenzioni. Non è una prova indipendente che sia stato un gesto altruistico fin dall’inizio, né è un’autorizzazione a togliere i fondi.

Questo caso è notevole per le sue dimensioni e il suo risultato insolito. La restituzione dei beni non elimina il difetto che l’ha resa possibile: la difesa di un sistema dipende anche dai poteri che concede ai propri componenti.