Atakujący wyprowadził 24,15 miliona USDC z platformy AFX Trade opartej na Arbitrum po uzyskaniu podpisów aktywnych walidatorów autoryzujących masowy wypłat, zgodnie z oryginalnym doniesieniem. Firmy zajmujące się bezpieczeństwem wykryły, że atak był powiązany ze skompromitowanymi kluczami zewnętrznego mostu obsługiwanego przez zespół AFX Trade, a nie z jakąkolwiek luką w rdzennej infrastrukturze warstwy drugiej Arbitrum.

Arbitrum niezwłocznie potwierdziło, że jego natywny most nie został dotknięty. To rozróżnienie ma istotne znaczenie, ponieważ mosty niestandardowe — budowane niezależnie przez zespoły projektowe w celu łączenia aplikacji opartych na Ethereum z sieciami L2 — zazwyczaj opierają się na mniejszym zestawie walidatorów, co zwiększa wykonalność ataku polegającego na kompromitacji kluczy. W tym przypadku atakujący zgromadził wystarczającą liczbę ważnych podpisów, aby przenieść środki z platformy bez uruchomienia standardowych progów bezpieczeństwa.

Podatność podpisów walidatorów

Mosty zewnętrzne powszechnie wykorzystują model wielopodpisowy lub proof-of-authority, w którym kworum kluczy musi zatwierdzić transfery. Badacze ds. bezpieczeństwa ustalili, że wektor ataku w przypadku AFX Trade wynika z niewłaściwego zarządzania kluczami, a nie z wady smart kontraktu. Środki w USDC zostały wyprowadzone w jednej transakcji, która normalnie wymagałaby wielu niezależnych zatwierdzeń.

Incydent uwypukla utrzymującą się słabość infrastruktury międzyłańcowej. Mosty od dawna są najbardziej podatnym punktem połączenia między sieciami, a łączne straty z tytułu exploitów mostów przekraczają obecnie 2,5 miliarda dolarów w incydentach takich jak Ronin (~625 milionów dolarów), Wormhole (~326 milionów dolarów) i Nomad (~190 milionów dolarów). Te przypadki konsekwentnie obejmowały kompromitację kluczy zarządczych lub walidatorów. To, co odróżnia przypadek AFX Trade, to wyraźna separacja od własnej architektury bezpieczeństwa Arbitrum, co może uchronić szerszy ekosystem przed bezpośrednim zarażeniem.

Choć Arbitrum umocniło swoją pozycję wśród czołowych blockchainów pod względem aktywności deweloperów, rosnąca liczba mostów stron trzecich budowanych na jego warstwie skalowalności wprowadza ryzyka, których rdzenne protokoły nie są w stanie całkowicie wyeliminować. Główne protokoły międzyłańcowe, takie jak LayerZero, Wormhole czy Across, próbowały zaradzić tym ryzykom poprzez wielostronne obliczenia kryptograficzne, weryfikację optymistyczną lub większe zdecentralizowane zestawy walidatorów, jednak żaden standard nie stał się powszechnie przyjętym punktem odniesienia w zakresie bezpieczeństwa.

Pytania bez odpowiedzi

Szczegóły dotyczące pierwotnej kompromitacji kluczy pozostają ograniczone. Nie jest jasne, czy atak miał swoje źródło w kampanii phishingowej, zagrożeniu wewnętrznym czy naruszeniu infrastruktury. Śledczy on-chain aktywnie monitorują ruch skradzionych środków USDC. Circle, emitent USDC, posiada techniczną możliwość zamrażania tokenów na określonych adresach — mechanizm, który był stosowany w poprzednich incydentach, gdy organy ścigania wydają formalne polecenie — jednak nie ogłoszono żadnego zamrożenia, a środki mogły już zostać przepuszczone przez miksery lub inne narzędzia zaciemniające.

Brak natychmiastowej możliwości odzyskania środków będzie prawdopodobnie budził niepokój użytkowników, którzy udostępnili płynność za pośrednictwem stosunkowo mało znanego mostu. Dla traderów i dostawców płynności w ekosystemie DeFi na Arbitrum incydent ten przywołuje znany kompromis: szybkość i korzyści z komponowalności nowszych mostów często wiążą się z obniżonymi gwarancjami bezpieczeństwa.

Szersze implikacje dla bezpieczeństwa warstwy drugiej

Strata AFX Trade pojawia się w okresie rosnącego zainteresowania instytucjonalnego rozwiązaniami skalowania Ethereum, gdzie gwarancje bezpieczeństwa są coraz częściej wykorzystywane jako wyróżnik konkurencyjny. Szybkie odcięcie się Arbitrum od ataku — potwierdzające integralność swojego natywnego mostu — wskazuje, że główne zespoły L2 są doskonale świadome szkód reputacyjnych, jakie mogą wyrządzić ataki na mosty, nawet gdy nie ponoszą technicznej odpowiedzialności.

Niemniej jednak praktyczny rezultat dla poszkodowanych użytkowników pozostaje taki sam jak w przypadku każdej kradzieży przez most: utracone tokeny i niepewność co do ewentualnych dróg odzyskania. Incydent ten nie wskazuje na ryzyko systemowe dla Arbitrum jako sieci, ale potwierdza potrzebę ostrożności, którą uczestnicy DeFi muszą zachować przy ocenie łańcuchów nadzoru nad wszelkimi aplikacjami wdrożonymi na bazie głównych rozwiązań rollup. W miarę jak wdrożenia typu application-specific i application-chain będą mnożyć się na sieciach L2, liczba niezależnie obsługiwanych mostów prawdopodobnie wzrośnie, powiększając powierzchnię ataku szybciej, niż zdążą się rozwijać formalne audyty czy ubezpieczenia.

Kolejne ustalenia będą zależeć od raportów kryminalistycznych i tego, czy atakujący pozostawi ślady łączące aktywność portfela ze znaną jednostką. Na ten moment kompromitacja podpisów aktywnych walidatorów stanowi kolejny punkt danych w toczącym się wysiłku na rzecz zabezpieczenia warstw komunikacji międzyłańcowej bez przywracania scentralizowanych punktów awarii.