Взлом моста Polkadot-Ethereum оказался в 10 раз серьёзнее, чем сообщалось

Взлом, из-за которого ранее на этой неделе было создано 1 млрд wrapped-токенов Polkadot ($DOT), оказался намного серьёзнее, чем сообщалось изначально. Об этом заявила команда Hyperbridge.

Изначально ущерб оценивали примерно в $237 000, но теперь выяснилось, что реальные потери ближе к $2,5 млн. Это более чем в 10 раз больше первых оценок.

В постмортеме, опубликованном в четверг, команда объяснила, что злоумышленник воспользовался уязвимостью в механизме проверки MMR-доказательств.

«Атакующий использовал баг в логике верификации Merkle Mountain Range (MMR), что позволило ему выпускать активы и выводить средства из escrow через Token Gateway», — сообщили разработчики.

Сначала команда оценивала потери примерно в $237 000. Эта цифра основывалась на том, сколько токенов $DOT сразу начали сливать в сети Ethereum.

Позже стало понятно, что картина была неполной.

Помимо этих $237 000, злоумышленник ещё до основного взлома вывел 245 $ETH, это около $561 000. Также атака затронула сразу несколько сетей. Пострадали Base, Arbitrum и BNB Chain, хотя изначально команда говорила, что проблема касается только wrapped-$DOT в сети Ethereum.

После полного анализа стало ясно, что атака проходила в два этапа и затронула сразу несколько источников ликвидности, включая incentive-пулы.

«После сверки активности атакующего во всех четырёх сетях и учёта всех этапов атаки общий ущерб составил около $2,5 млн в $ETH и $DOT на момент взлома», — сообщили разработчики.

Украденные средства удалось отследить. Они были переведены на депозитный адрес Binance. Сейчас команда уже связалась с биржей и правоохранительными органами, чтобы попытаться заморозить активы.

При этом быстрого результата они не ожидают.

Читайте также: Нефть обвалилась, биткоин и акции растут после заявления Ирана о проливе Ормуз

Команда заявила, что будет использовать все возможные способы для возврата средств. Но при этом признаёт, что такие случаи не решаются быстро.

«Мы задействуем все доступные каналы, но в подобных ситуациях на восстановление средств обычно уходят месяцы, иногда до года», — отметили разработчики.

Основная цель сейчас — компенсировать убытки пользователям. Если вернуть украденные средства не получится, команда планирует покрыть остаток через распределение токенов BRIDGE.

Проблема в том, что сам токен почти не торгуется. За последние 24 часа объём составил всего около $1800, при цене примерно $0,006 на конец марта.

При таких значениях его капитализация находится на уровне $858 000. Это примерно треть от общего ущерба, который нанёс взлом.

Работа моста в затронутых сетях пока полностью остановлена. Речь идёт о четырёх блокчейнах. Запуск вернут только после того, как выпустят патч и проведут аудит.

Читайте также: CFTC проверяет сделки с нефтью перед заявлениями Трампа

При этом команда не отказалась от своей позиции по кроссчейн-решениям.

«Мы по-прежнему считаем, что безопасная работа между блокчейнами возможна только через криптографические доказательства», — заявили разработчики.

Но сам инцидент показал слабое место.

«Этот взлом наглядно показал, что логику верификации нужно проверять гораздо чаще и жёстче на каждом уровне системы. Именно по такому стандарту Token Gateway будет работать дальше», — добавили они.

В целом ситуация в очередной раз поднимает вопрос о безопасности кроссчейн-решений. Несмотря на их популярность, именно мосты остаются одной из самых уязвимых частей всей криптоинфраструктуры.

Такие атаки происходят регулярно, и почти каждый раз проблема оказывается не в самой идее, а в реализации. Даже небольшая ошибка в логике проверки или взаимодействия контрактов может привести к масштабным потерям.

При этом интерес к кроссчейн-технологиям никуда не исчезает. Напротив, по мере роста экосистем необходимость в быстрых и удобных переводах между сетями только усиливается. Это создаёт постоянный конфликт между удобством и безопасностью.

Читайте также: Bitwise запускает ETP на Avalanche с доходностью от стекинга

История с Hyperbridge ещё раз показывает, что одного аудита недостаточно. Проекты вынуждены пересматривать подход к тестированию и учитывать сценарии атак, которые раньше считались маловероятными.

В ближайшее время рынок, скорее всего, станет ещё более требовательным к подобным решениям. Пользователи и инвесторы уже не готовы закрывать глаза на риски, особенно когда речь идёт о миллионах долларов.

И пока индустрия ищет баланс, мосты остаются одновременно ключевой частью Web3 и его самым слабым звеном.

Источник