CVE-2026-62162 in Hydra
Сводка
по VulDB • 30.10.2026
Hydra — это решение для масштабируемости на уровне два (Layer-2) для Cardano. До версии 2.1.0 ветка `Claim` в файле `hydra-plutus/validators/deposit.ak` проверяет только то, что `datum.head_id` совпадает с контролируемым атакующим значением `redeemer.currencySymbol`, и что транзакция действительна до истечения срока действия депозита. При этом не требуется расходование UTxO токена состояния Head (Head state-token) в той же транзакции, также отсутствуют ограничения на выходы (outputs). После подтверждения депозита, выполненного через `POST /commit`, любой третьей стороне, способной создать транзакцию Cardano, можно наблюдать и потратить ожидающий депозит UTxO до истечения его срока действия, перенаправив активы на произвольный адрес. Расход (spend) депозита в автономном режиме не вызывает выполнение валидатора Head, обходя его проверки безопасности; привязка к историческому ID головы и переписывание с использованием Aiken сохранили эту отсутствующую инвариантность. По умолчанию срок действия составляет три периода depositPeriod, поэтому описанная атака применима ко всем ожидающим депозитам до истечения этого срока. Эта проблема исправлена в версии 2.1.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.