За считаные часы неизвестные злоумышленники украли свыше $31,6 млн, атаковав два кроссчейн-моста: мост децентрализованной биржи AFX и мост протокола Verus. Оба инцидента произошли в один день и вновь показали, насколько уязвимыми остаются блокчейн-мосты, на которых хранятся крупные объемы активов для перевода между разными сетями.

По данным компании Blockaid, специализирующейся на безопасности Web3, первой пострадала AFX — децентрализованная биржа в сети Arbitrum. В среду вечером через один из ее кроссчейн-мостов вывели около $24,15 млн. Спустя несколько часов специалисты Blockaid зафиксировали вторую атаку — на этот раз на мост протокола Verus в сети Ethereum, откуда похитили различные криптоактивы на общую сумму примерно $7,5 млн.

Как сообщили в Blockaid, эксплоит моста AFX обнаружили в 21:30 по UTC. Сооснователь Offchain Labs (компании — разработчика Arbitrum) Стивен Голдфедер подтвердил в социальной сети X, что взлом затронул мост стороннего протокола, а не нативную инфраструктуру Arbitrum.

Специалист по безопасности SunSec, основатель сообщества DeFiHackLabs и участник инициативы SEAL, отметил, что имеющиеся данные указывают на кражу приватных ключей, а не на эксплуатацию логики смарт-контрактов.

Сооснователь и глава Blockaid Идо Бен-Натан рассказал, что первичное расследование привело к тем же выводам: было скомпрометировано пять «горячих» ключей адресов-валидаторов. По его словам, речь идет об OpSec-инциденте, а не об уязвимости в смарт-контракте. Несанкционированный вывод средств сопровождался подписями валидаторов, то есть механизм верификации моста в блокчейне сработал именно так, как задумано. Бен-Натан добавил, что требуемый кворум подписей валидаторов был набран за счет настоящих подписей. Это говорит о том, что взлом произошел на уровне офчейн-инфраструктуры.

В AFX пока не прокомментировали ситуацию.

Второй инцидент затронул мост Ethereum протокола Verus: из его резервов вывели Ether, tBTC (токен ERC-20, обеспеченный биткоином), а также USDC, USDt, EURC, MKR и scrvUSD на общую сумму около $7,5 млн.

По оценке специалистов Blockaid, эта атака напоминает майский инцидент с тем же мостом Verus, когда было похищено $11,58 млн. Тогда злоумышленник использовал тот же метод атаки, но другой кошелек. В Blockaid отметили, что он воспользовался механизмом импорта моста, чтобы инициировать необеспеченные выплаты в сети Ethereum.

При этом во время прошлой атаки команда Verus предложила атакующему вернуть 75 процентов похищенных средств, а 25 процентов оставить себе в качестве баг-баунти. В итоге 4052 ETH были отправлены хакером обратно команде. Почти вся возвращенная в мае сумма была украдена во время сегодняшнего инцидента.

Блокчейн-мосты остаются одной из самых популярных целей для атакующих из-за большого объема ликвидности, необходимой для их работы. Именно на мосты приходится несколько крупнейших атак. Так, в феврале 2022 года был взломан Wormhole Bridge — во время этой атаки было украдено 326 миллионов долларов. В июне 2022 года был взломан BNB Bridge, из которого вывели более 580 миллионов долларов.