Most obsługiwany przez zdecentralizowaną platformę instrumentów pochodnych AFX Trade stracił w środę 24,15 mln USDC po tym, jak nieautoryzowana wypłata przeszła proces zatwierdzania przez walidatorów oraz procedurę sporu.

Blockaid wykrył exploit około 21:30 UTC 22 lipca. W poście na X firma zajmująca się bezpieczeństwem poinformowała, że dotknięta infrastruktura była obsługiwana przez AFX oraz że współpracuje z kontrybutorami Arbitrum, aby skontaktować się z protokołem i zabezpieczyć skradzione środki: https://x.com/blockaid_/status/2080080240265621680

Przed transakcją most posiadał około $24.2 million w USDC. Wypłata pozostawiła w moście niewielką pozostałą płynność w stablecoinach.

Wstępna analiza onchain wykazała, że podpisy powiązane z pięcioma hot validatorami zatwierdziły transfer 24,150,000 USDC. Podpisy te odpowiadały za 7,142 z 10,000 jednostek siły walidatorów mostu, przekraczając próg dwóch trzecich wymagany do autoryzacji wypłaty.

Mosty oparte na walidatorach zwykle polegają na kworum podpisujących oraz okresie zgłaszania zastrzeżeń, aby zapobiegać nieautoryzowanym transferom przed uwolnieniem aktywów. W tym przypadku żądanie przeszło następnie przez okno sporu trwające około 200 sekund, po czym kontrakt mostu uwolnił środki. W momencie publikacji AFX nie wydał technicznego raportu postmortem potwierdzającego, czy skradziono klucze walidatorów, czy doszło do przejęcia podpisujących, czy też inna słabość autoryzacji umożliwiła przeprowadzenie transakcji.

Atakujący zamienia USDC na 12,467 ETH

Atakujący przeniósł USDC z Arbitrum na Ethereum, korzystając z Circle’s Cross-Chain Transfer Protocol, a następnie wymienił środki na około 12,467 ETH.

Lookonchain podał, że średnia cena zakupu wyniosła około $1,937 za ETH: https://x.com/lookonchain/status/2080092059252486487. Przekonwertowane aktywa były warte około $24.15 million w momencie zakończenia swapów.

CEO Offchain Labs Steven Goldfeder powiedział, że transakcja pochodziła z protokołu strony trzeciej i że natywny most Arbitrum nie został zhakowany ani wykorzystany w exploicie: https://x.com/sgoldfed/status/2080071210847674709. To rozróżnienie ma znaczenie, ponieważ bazowa infrastruktura mostów Arbitrum oraz niezależne mosty na poziomie aplikacji mają oddzielne modele bezpieczeństwa, operatorów i mechanizmy kontroli ryzyka. Zespół Arbitrum rozpoczął koordynację z dotkniętym projektem, równolegle badając wypłatę.

AFX nie ogłosił umowy dotyczącej odzyskania środków, procesu rekompensat ani ostatecznego wyjaśnienia zatwierdzeń walidatorów w momencie publikacji.

Exploity mostów zwiększają tygodniowe straty w DeFi

Wypłata z AFX nastąpiła po kilku innych atakach zgłoszonych w tym samym tygodniu, zwiększając kontrolę nad systemami cross-chain oraz komponentami offchain, których wiele z nich używa do zatwierdzania transferów. Balance Coin załamał się po exploicie oracle o wartości $915,000 w 42DAO 22 lipca, gdy zmanipulowana cena BTCB wywołała likwidacje oraz emisję BLC bez wystarczającego zabezpieczenia.

Wanchain wyłączył swój most Cardano-BNB Chain po tym, jak 515 million NIGHT opuściło jego skarbiec w transakcjach powiązanych z podejrzewaną luką polegającą na ponownym użyciu podpisu.

Allbridge Core również wstrzymał działalność po exploicie z użyciem flash loan na Solanie o wartości $1.65 million, który zmanipulował wycenę w jego puli stablecoinów.