Два подключённых к Ethereum моста потеряли в совокупности $31,69 млн в течение нескольких часов, а третий протокол, B² Network, приостановил стейкинг токенов после обнаружения несанкционированного доступа к своим правам на обновление.
Первым пострадал мост AFX на Arbitrum. Blockaid зафиксировал эксплойт в 21:30 UTC 22 июля. Одна транзакция в Arbitrum вывела 24,15 млн USDC из моста, управляемого децентрализованным торговым протоколом AFX. AFX немедленно остановил работу своего кастодиального моста USDC и подчеркнул, что инцидент ограничился сторонним мостом и не затронул его собственную торговую инфраструктуру, основную сеть или нативный мост Arbitrum.
В предварительных выводах, опубликованных 24 июля, AFX назвал причиной «скоординированную социальную инженерию и компрометацию инфраструктуры». По всей видимости, злоумышленники начали с dev-окружения, а затем проникли во внутреннюю сборочную инфраструктуру и системы валидаторов. AFX сообщил, что проверяет балансы, добивается возврата средств и готовит меры по устранению последствий. По состоянию на 24 июля протокол не объявлял о завершённом возврате средств или окончательном плане компенсаций.
Через несколько часов после инцидента с AFX транзакция в Ethereum показала, что мост Verus выпустил 1 137,45 ETH плюс семь трансферов токенов. Blockaid оценил необеспеченные выплаты примерно в $7,54 млн. Анализ SlowMist показал, что мост одобрил восемь выводов без доказательств наличия обеспечивающих их активов. Компания связала сбой с тем же классом проблем кроссчейн-валидации импорта, что и в майском эксплойте, но отметила, что две атаки использовали разную механику.
Инцидент с B² Network не был эксплойтом моста. Сеть сообщила, что некто получил несанкционированный доступ к правам на обновление её стейкинг-контракта. B² приостановила обычный стейкинг на время проверок безопасности, заявила, что проблема локализована, и пообещала полную компенсацию пострадавшим пользователям. По состоянию на 24 июля возмещение не было задокументировано. B² также предложила ручной способ выхода из стейкинга: пользователи могут запросить вывод через официальный Discord сети, причём запросы с подтверждённым владением обрабатываются в течение одного рабочего дня. Сеть не раскрыла сумму потерь, поэтому этот инцидент исключён из общей суммы потерь мостов в $31,69 млн.
Три события произошли в период повышенного внимания к кроссчейн-инфраструктуре. Для трейдеров ближайшими точками наблюдения остаются верификация балансов AFX и любой план компенсаций, а также то, возобновит ли B² обычный стейкинг или продлит ручной процесс выхода. Эксплойт моста Verus также поднимает вопрос о том, сколько ещё развёртываний опираются на ту же логику валидации импорта.
Два Ethereum-моста потеряли $31,69 млн в атаках; B² остановила награды за стейкинг
Два моста Ethereum, AFX и Verus, понесли убытки более чем на $31,7 млн из-за скоординированных эксплойтов и несанкционированных выводов средств. B² Network также приостановила стейкинг после несанкционированного доступа к контракту, вызвав опасения по поводу безопасности кроссчейн-мостов.