Хакери вкрали $31,6 млн за 7 годин у двох криптопроєктів

Хакери вкрали понад $31,6 млн у двох окремих атаках на криптомости, які сталися з різницею лише в кілька годин.

За даними Blockaid, у середу децентралізована біржа безстрокових ф’ючерсів AFX, яка працює в мережі Arbitrum, втратила $24,15 млн через атаку на один зі своїх кросчейн-мостів.

Через кілька годин Blockaid зафіксувала ще одну атаку — цього разу на Verus Ethereum Bridge. Унаслідок неї з резервів мосту вивели близько $7,5 млн у криптовалюті.

Дві атаки поспіль знову показали вразливість кросчейн-мостів. Такі протоколи часто зберігають великі обсяги активів і забезпечують переміщення коштів між різними блокчейнами.

Ончейн-дослідник TheCrypticWolf заявив, що криптомости залишатимуться слабкою ланкою, доки їхню безпеку не посилять.

У випадку з AFX Blockaid повідомила, що атаку було виявлено о 21:30 UTC. Співзасновник Offchain Labs Стівен Голдфедер підтвердив, що злам торкнувся стороннього протоколу, а не нативного мосту Arbitrum.

За його словами, команда знає про повідомлення щодо атаки на міст в Arbitrum і розслідує інцидент. Голдфедер наголосив, що транзакція походила від стороннього протоколу, а нативний міст Arbitrum не був зламаний.

Засновник Web3-спільноти DeFiHackLabs SunSec заявив, що наявні дані вказують на компрометацію ключів, а не на логічну помилку в смартконтракті.

Співзасновник і CEO Blockaid Ідо Бен-Натан також заявив, що оцінка компанії збігається з повідомленнями про компрометацію п’яти гарячих ключів валідаторів.

За його словами, це більше схоже на проблему операційної безпеки, а не на вразливість смартконтракту. Несанкціоноване виведення коштів мало справжні підписи валідаторів, тому ончейн-перевірка мосту спрацювала так, як і була спроєктована.

Бен-Натан додав, що необхідний кворум валідаторів було досягнуто за допомогою справжніх підписів. Це свідчить, що компрометація сталася в офчейн-інфраструктурі підписання, а не в самому контракті мосту.

Окремо Blockaid повідомила про атаку на Verus Ethereum Bridge. З резервів мосту вивели Ether, tBTC, USDC, USDt, EURC, MKR і scrvUSD на загальну суму близько $7,5 млн.

За даними Blockaid, ця атака схожа на попередній інцидент із Verus Ethereum Bridge у травні, коли з мосту вивели $11,58 млн. Компанія заявила, що метод атаки був тим самим, але використовувався інший гаманець зловмисника.

Blockaid пояснила, що атакувальник використав шлях імпорту в мосту, щоб ініціювати виплати на стороні Ethereum без належного забезпечення.