Два Ethereum-мости втратили 31,69 млн $ у атаках; B² зупинила винагороди

Два Ethereum-мости втратили разом 31,69 млн доларів протягом кількох годин, а третій протокол B² Network призупинив стейкінг токенів після виявлення несанкціонованого доступу до повноважень оновлення.

Міст AFX на Arbitrum зазнав першого удару. Blockaid зафіксував експлойт о 21:30 UTC 22 липня. Одна транзакція Arbitrum вивела 24,15 млн USDC з мосту, яким керує AFX, децентралізований торговий протокол. AFX негайно призупинив свій міст для зберігання USDC і наголосив, що інцидент обмежений стороннім мостом, а не власною торговою інфраструктурою, mainnet чи нативним мостом Arbitrum.

У попередніх висновках, опублікованих 24 липня, AFX назвав причиною «скоординовану соціальну інженерію та компрометацію інфраструктури». Зловмисники, ймовірно, почали з середовища розробки, а потім проникли у внутрішню інфраструктуру збірки та системи валідаторів. AFX заявив, що перевіряє баланси, домагається повернення коштів і готує виправлення. Станом на 24 липня компанія не оголосила про завершене повернення коштів чи затверджений план компенсацій.

За кілька годин після інциденту з AFX транзакція Ethereum показала, що міст Verus вивів 1 137,45 ETH плюс сім переказів токенів. Blockaid оцінив незадіяні виплати приблизно у 7,54 млн доларів. Аналіз SlowMist показав, що міст схвалив вісім виведень без доказу, що відповідні активи їх забезпечують. Компанія пов’язала збій із тим самим широким класом перевірки імпорту між ланцюгами, що й експлойт у травні, але зазначила, що атаки використовували різні механізми.

Інцидент B² Network не стосувався експлойту мосту. Мережа заявила, що хтось отримав несанкціонований доступ до повноважень оновлення смарт-контракту стейкінгу. B² призупинила звичайний стейкінг під час перевірок безпеки, запевнила, що проблема локалізована, і пообіцяла повну компенсацію постраждалим користувачам. Станом на 24 липня повернення коштів не було задокументовано. B² також запропонувала ручний шлях виведення: користувачі можуть подати запит на виведення через офіційний Discord, а запити з підтвердженням права власності обробляють протягом одного робочого дня. Мережа не розкрила суму збитків, тому цей інцидент не включено до загальної суми втрат мостів у 31,69 млн доларів.

Три події сталися в період посиленої уваги до інфраструктури між ланцюгами. Для трейдерів ключовими пунктами спостереження залишаються перевірка балансів AFX та будь-який план компенсацій, а також чи відновить B² звичайний стейкінг чи продовжить ручний процес виведення. Експлойт мосту Verus також ставить питання, скільки інших розгортань покладаються на ту саму логіку перевірки імпорту.