CVE-2026-62162 in Hydra
Zusammenfassung
von VulDB • 30.10.2026
Hydra ist eine Skalierungslösung der Layer-2 für Cardano. Vor Version 2.1.0 überprüft die `Claim`-Branch im Pfad `hydra-plutus/validators/deposit.ak` lediglich, dass `datum.head_id` mit dem vom Angreifer kontrollierten `redeemer.currencySymbol` übereinstimmt und dass die Transaktion vor der Einzahlungsfrist gültig ist. Es wird weder verlangt, das Head-State-Token-UTxO in derselben Transaktion auszugeben, noch werden die Ausgaben beschränkt. Nachdem eine über `POST /commit` getätigte Einzahlung bestätigt wurde, kann jede dritte Partei, die eine Cardano-Transaktion erstellen kann, den ausstehenden Deposit-UTxO vor dessen Frist beobachten und verbrauchen sowie die Assets an eine beliebige Adresse umleiten. Eine eigenständige Ausgabe der Einzahlung ruft keinen Head-Validator auf und umgeht somit dessen Sicherheitsprüfungen; das historische Head-ID-Binding und die Aiken-Umschreibung haben diese fehlende Invariante beibehalten. Die Standardfrist beträgt das Dreifache von `depositPeriod`, sodass der beschriebene Angriff auf ausstehende Einzahlungen vor dieser Frist zutrifft. Dieses Problem wurde in Version 2.1.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.