BSquared Network [B2], protokół warstwy 2 dla Bitcoina [BTC], został wyeksplloatowany na kwotę 3,89 miliona dolarów w najnowszym naruszeniu bezpieczeństwa dotykającym sektor DeFi. Incydent miał miejsce tego samego dnia, w którym AFX Trade zostało oddzielnie wyeksplloatowane na ponad 24,15 miliona dolarów, co podkreśla utrzymujące się luki w bezpieczeństwie w zdecentralizowanych finansach mimo ulepszeń wdrożonych po ataku na Kelp DAO w kwietniu.

Dla protokołów DeFi kontrola nad uprawnieniami aktualizacji kontraktów jest krytyczną warstwą bezpieczeństwa, ponieważ decyduje o tym, kto może zmieniać zachowanie kontraktu po wdrożeniu. To sprawia, że status uprzywilejowanych ról, cofnięcia uprawnień i przeglądy po incydencie mają kluczowe znaczenie dla oceny ekspozycji użytkowników i prawdopodobieństwa odzyskania środków.

Szczegóły ataku

Zgodnie z informacjami platformy analitycznej on-chain Lookonchain, atakujący ukradł 8,59 miliona tokenów B2 o wartości 3,86 miliona dolarów. Tokeny zostały sprzedane za 5 409 WBNB i 156 BNB o łącznej wartości około 89,68 tys. dolarów. Środki te następnie przekazano do sieci Ethereum [ETH] i wymieniono na ETH oraz USDT.

Haker obecnie kieruje skradzione aktywa w stronę ZCash [ZEC] przez Near Intents i HOT Protocol. W momencie publikacji 200 ETH — o wartości ponad 387 tys. dolarów — zostało przelane do portfela mostkowego Near Intents, co jest ruchem typowo kojarzonym z próbami zacierania śladów i zmniejszania szans na odzyskanie środków. Transfery międzyłańcuchowe mogą utrudniać śledztwa, ponieważ aktywa przemieszczają się między odrębnymi sieciami i miejscami płynności, wymagając od śledczych monitorowania aktywności wykraczającej poza pierwotny łańcuch.

Śledczy on-chain Specter zasugerował, że atak mógł być pracą od wewnątrz. Wskazany adres rzekomo posiadał niezbędną rolę dostępu od 2025 roku, a uprawnienia te zostały cofnięte dopiero po dokonaniu kradzieży. Analiza Spectera na X.

Reakcja zespołu i plany rekompensat

Zespół BSquared przypisał naruszenie nieautoryzowanemu dostępowi do uprawnień aktualizacji smart kontraktu. W oficjalnym oświadczeniu na X zespół ogłosił:

Ze środka ostrożności, staking $B2 został tymczasowo zawieszony do czasu ukończenia dodatkowych przeglądów bezpieczeństwa.

Zawieszanie stakingu to powszechny krok powstrzymujący podczas reagowania na incydenty, ponieważ może ograniczyć dodatkowe interakcje użytkowników z dotkniętymi kontraktami, podczas gdy zespoły przeglądają uprawnienia, logikę kontraktów i przepływy środków.

Zespół przedstawił również plany rekompensat dla poszkodowanych użytkowników:

Wszyscy poszkodowani użytkownicy otrzymają pełne odszkodowanie.

W odpowiedzi na zarzut dotyczący pracy od wewnątrz zespół BSquared wysłał do hakerowi wiadomość on-chain, jak zgłosił Specter (wpis na X). Wiadomość oferowała łagodniejsze stanowisko w zamian za częściowy zwrot środków:

Jeśli zwrócisz co najmniej 10% skradzionych środków (około 386 000 USD) w ciągu najbliższych 24 godzin na ten adres… nie podejmiemy postępowania sądowego… Wybór należy do Ciebie.

Wpływ na rynek

Po przepływie kapitału z BNB Chain do sieci Ethereum token B2 początkowo spadł o ponad 40%. Spadek następnie zelżał, a token w momencie publikacji notowany był na poziomie wsparcia 0,4351 USD, z wynikiem na minusie 17%.

Korelacja tokena B2 z BNB zaczęła się odbudowywać po ataku, jednak wskaźnik MACD sugerował, że dominował niedźwiedzi trend. Inwestorzy i użytkownicy będą prawdopodobnie obserwować, czy zespół przedstawi dalsze szczegóły dotyczące naruszonych uprawnień, zakresu dotkniętych kont, harmonogramu przeglądów stakingu oraz ewentualnego odzyskania środków przekierowanych przez kanały międzyłańcuchowe.