Firma zajmująca się bezpieczeństwem blockchainów, Blockaid, wykryła trwający atak na most międzyłańcuchowy Ankr w sieci Ethereum. W ostrzeżeniu opublikowanym 9 listopada 2026 r. firma poinformowała, że atakujący wyciągnął z mostu około 292 000 dolarów poprzez pięć nieuprawnionych wniosków o wypłatę — i ostrzegła, że atak nadal trwał w chwili wydania alertu.

🚨Blockaid detected an ongoing exploit on @ankr on Ethereum. An attacker submitted five withdraw calls on Ankr's Ethereum cross-chain bridge, using a tiny Optimism deposit to unlock the bridge's full locked inventory to a new wallet. ~$292k drained from the bridge so far across ~5 txs. Attack still ongoing. 🧵

— Blockaid (@blockaid_) November 9, 2026

Incydent budzi pytania o to, jak most weryfikuje transakcje międzyłańcuchowe i zezwala na uwolnienie aktywów. Mosty międzyłańcuchowe od dawna należą do najczęściej atakowanej infrastruktury w branży: przechowują duże zasoby zablokowanych aktywów w imieniu dwóch sieci jednocześnie, a kilka największych exploitów w historii kryptowalut wiązało się właśnie z nimi. Ten dorobek to powód, dla którego firmy bezpieczeństwa nieustannie monitorują kontrakty mostów, a nawet wypłata o wartości sześciu cyfr natychmiast wywołuje publiczny alert.

Jeden depozyt na Optimism powiązany z pięcioma wypłatami

Według Blockaid atakujący wykonał pięć wniosków o wypłatę na moscie Ankr w sieci Ethereum. Transakcje te, jak ustalono, polegały na wpłacie niewielkiej kwoty z Optimism, która następnie posłużyła do odblokowania aktywów z kontraktu mostu Ethereum. Firma szacuje łączną stratę na około 292 000 dolarów w około pięciu transakcjach, a pozyskane środki trafiły do nowo utworzonego portfela wypłat.

Skradzione środki nie ograniczały się do jednego aktywa. Obejmowały wiele tokenów, w tym tokeny liquid stakingu powiązane z Ankr oraz ANKR, natywną kryptowalutę Ankr.

W normalnych warunkach most międzyłańcuchowy odblokowuje aktywa na jednej sieci po dokonaniu depozytu w sieci źródłowej. Jeśli ta sama transakcja może posłużyć jako dowód autoryzacji dla innej wypłaty, pojedynczy depozyt może zostać potencjalnie wykorzystany więcej niż raz. Wstępne ostrzeżenie Blockaid nie zawierało szczegółów dotyczących dokładnej wady technicznej ani wyjaśnienia, jak atakujący ominął mechanizmy autoryzacji mostu, ale ten schemat wskazuje na awarię etapu weryfikacji poprzedzającego uwolnienie aktywów.

Portfele operatorów Ankr opróżnione przed atakiem

Na aktywność on-chain poprzedzającą wypłaty również złożył się ten incydent. Blockaid poinformował, że w godzinach od 02:08 do 04:06 UTC kilka portfeli operatorów Ankr zostało opróżnionych w sieciach Ethereum, Arbitrum i Linea, a środki trafiły do pojedynczego portfela konsolidacyjnego.

Następnie atakujący przeprowadził transakcje z tym portfelem, aby opłacić prowizję dla relayera, który przekazał transakcje do mostu. Ta sekwencja sugeruje, że operacja została przeprowadzona dopiero po przygotowaniu przez atakującego niezbędnej infrastruktury transakcyjnej. same ruchy portfeli nie pokazują jednak, w jaki sposób uzyskano dostęp do portfeli operatorów ani czy ich klucze prywatne zostały przejęte.

Pięć transakcji wymierzonych w most Ethereum

Blockaid zidentyfikował dwa adresy powiązane z exploitem i udostępnił przykładową transakcję z wykorzystaniem podatnego kontraktu mostu. Wszystkie wypłaty wymierzone były w ten sam most Ethereum, a wypłacone środki trafiły do portfela wypłat atakującego.

Zgłoszona strata odpowiada kwocie wyciągniętej w momencie wydania ostrzeżenia przez Blockaid, a nie ostatecznemu bilansowi incydentu. To rozróżnienie jest istotne, ponieważ atak nadal trwał, gdy firma bezpieczeństwa podniosła alarm. Ostateczne straty mogą ulec zmianie w zależności od dodatkowych transakcji oraz zmian cen dotkniętych tokenów.

W momencie alertu exploit był nadal otwarty, dlatego najbliższymi wydarzeniami wartymi obserwacji są: skorygowany bilans strat, ujawnienie techniczne wyjaśniające, jak pojedynczy niewielki depozyt mógł odblokować zasoby mostu, oraz ewentualna reakcja operacyjna samego Ankr. Blockaid oznaczył swoje ostrzeżenie jako początek wątku, sygnalizując, że mogą pojawić się dalsze szczegóły dotyczące incydentu.

Incydent poddaje weryfikacji międzyłańcuchowej szczególnej ocenie. Mosty zależą od niezawodnej komunikacji między sieciami, a ich bezpieczeństwo opiera się na poprawnej walidacji depozytów, komunikatów i autoryzacji wypłat. Awaria na dowolnym etapie tego procesu może narazić aktywa przechowywane w kontraktach mostów, nawet gdy pierwotny depozyt jest w pełni legalny.