Dwa mosty Ethereum tracą 31,69 mln USD w atakach; B² wstrzymuje nagrody za tokeny

Dwa mosty połączone z Ethereum straciły łącznie 31,69 mln USD w ciągu kilku godzin od siebie, a trzeci protokół, B² Network, zawiesił staking tokenów po wykryciu nieautoryzowanego dostępu do swojego uprawnienia do aktualizacji.

Most AFX na Arbitrum otrzymał pierwszy cios. Blockaid oznaczył exploit o 21:30 UTC 22 lipca. Pojedyncza transakcja na Arbitrum przeniosła 24,15 mln USDC z mostu obsługiwanego przez AFX, zdecentralizowany protokół handlowy. AFX natychmiast zawiesił swój most depozytowy USDC i podkreślił, że incydent dotyczył wyłącznie zewnętrznego mostu, a nie jego własnej infrastruktury handlowej, sieci głównej ani natywnego mostu Arbitrum.

We wstępnych ustaleniach opublikowanych 24 lipca AFX obwiniło „skoordynowany atak socjotechniczny i naruszenie infrastruktury”. Atakujący najprawdopodobniej rozpoczęli od środowiska deweloperskiego, a następnie przedostali się do wewnętrznej infrastruktury kompilacji i systemów walidatorów. AFX poinformowało, że weryfikuje salda, dąży do odzyskania środków i przygotowuje działania naprawcze. Na dzień 24 lipca nie ogłoszono żadnego zakończonego zwrotu środków ani ostatecznego planu rekompensat.

Kilka godzin po incydencie z AFX, transakcja w sieci Ethereum pokazała, że most Verus wypuścił 1 137,45 ETH oraz siedem transferów tokenów. Blockaid oszacował wartość niezabezpieczonych wypłat na około 7,54 mln USD. Analiza firmy SlowMist wykazała, że most zatwierdził osiem wypłat bez dowodu, że odpowiadające im aktywa są zabezpieczone. Firma powiązała awarię z tą samą ogólną klasą walidacji importu międzyłańcuchowego, co w przypadku exploita z maja, ale stwierdziła, że oba ataki używały różnych mechanizmów.

Incydent w B² Network nie był eksploitowaniem mostu. Sieć poinformowała, że ktoś uzyskał nieautoryzowany dostęp do uprawnienia do aktualizacji kontraktu stakingowego. B² zawiesiło normalny staking na czas przeglądów bezpieczeństwa, poinformowało, że problem został opanowany, i obiecało pełną rekompensatę dla poszkodowanych użytkowników. Do 24 lipca nie udokumentowano żadnych zwrotów. B² zaoferowało również ręczną ścieżkę wyjścia ze stakingu: użytkownicy mogą złożyć wniosek o wypłatę za pośrednictwem oficjalnego Discorda, a wnioski zweryfikowane pod kątem własności są rozpatrywane w ciągu jednego dnia roboczego. Sieć nie ujawniła kwoty strat, więc ten incydent jest wyłączony z łącznej sumy 31,69 mln USD strat mostów.

Te trzy wydarzenia nastąpiły w okresie wzmożonej kontroli infrastruktury międzyłańcuchowej. Dla traderów bezpośrednimi punktami obserwacji są weryfikacja sald AFX i ewentualny plan rekompensat, a także to, czy B² wznowi normalny staking, czy przedłuży ręczny proces wyjścia. Exploit mostu Verus rodzi również pytania, jak wiele innych wdrożeń opiera się na tej samej logice walidacji importu.