CVE-2026-62162 in Hydra
Resumen
por VulDB • 2026-10-31
Hydra es una solución de escalabilidad en la capa dos para Cardano. Antes de la versión 2.1.0, la rama `Claim` en `hydra-plutus/validators/deposit.ak` solo verifica que `datum.head_id` coincida con el `redeemer.currencySymbol` controlado por el atacante y que la transacción sea válida antes del plazo límite para los depósitos. No requiere gastar el UTxO de token de estado Head en la misma transacción ni restringe las salidas. Después de que un depósito realizado a través de `POST /commit` se confirme, cualquier tercero capaz de construir una transacción Cardano puede observar y consumir el UTxO del depósito pendiente antes de su fecha límite y redirigir los activos a una dirección arbitraria. Un gasto independiente del depósito no invoca al validador Head, omitiendo sus comprobaciones de seguridad; la vinculación histórica del ID de head y la reescritura en Aiken conservaron esta invariante faltante. El plazo predeterminado es tres veces el `depositPeriod`, por lo que el ataque descrito se aplica a los depósitos pendientes antes de esa fecha límite. Este problema está corregido en la versión 2.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.