Luki bezpieczeństwa w infrastrukturze cross-chain pozostają stałym wyzwaniem dla rynków kryptowalut, po tym jak śledczy zgłosili dwa oddzielne exploity związane z mostami, do których doszło w odstępie kilku godzin. Według firmy analityki on-chain Blockaid łączna wartość kradzieży przekroczyła 31,6 mln USD, a straty wynikały z infrastruktury mostów powiązanej ze zdecentralizowaną giełdą kontraktów perpetual AFX oraz Verus Ethereum Bridge.

Protokoły mostów historycznie odpowiadały za największą część wartości skradzionej w atakach na DeFi, a incydenty takie jak włamanie do Ronin Network (625 mln USD, marzec 2022), exploit Wormhole (320 mln USD, luty 2022) oraz wyprowadzenie środków z Nomad Bridge (190 mln USD, sierpień 2022) podkreślają powtarzający się schemat, który rozpoczął się na długo przed środowymi zdarzeniami.

Blockaid poinformował, że most AFX stracił w środę 24,15 mln USD, po czym nastąpił atak na Verus Ethereum Bridge, w wyniku którego z rezerw mostu wyprowadzono około 7,5 mln USD. Następujące po sobie incydenty pokazują, że operatorzy mostów — oraz protokoły, które się z nimi integrują — mogą pozostawać narażeni nawet wtedy, gdy exploity nie są związane z pojedynczą słabością na poziomie łańcucha.

Exploit mostu AFX na Arbitrum

Blockaid podał, że wykrył exploit o 9:30 PM UTC, wymierzony w most obsługiwany przez AFX, zdecentralizowaną giełdę kontraktów perpetual zbudowaną na Arbitrum. Dochodzenie zakwalifikowało zdarzenie jako naruszenie integracji zewnętrznej, a nie przełamanie podstawowej infrastruktury mostu Arbitrum.

Współzałożyciel Offchain Labs, Stephen Goldfeder, wyjaśnił, że krążący w internecie raport o włamaniu do mostu dotyczył transakcji pochodzącej z protokołu zewnętrznego, a natywny most Arbitrum nie został naruszony. Goldfeder podkreślił, że natywny most Arbitrum „has not been hacked or exploited in any way.”

Dodatkowa analiza SunSec — założyciela społeczności bezpieczeństwa DeFi DeFiHackLabs i współpracownika SEAL — sugerowała, że dowody wskazywały bardziej na przejęte klucze prywatne niż na lukę w logice smart kontraktu. To rozróżnienie ma istotne znaczenie dla reakcji na incydent, ponieważ kompromitacja kluczy zwykle wymaga pilnej rotacji danych uwierzytelniających oraz szerszego przeglądu kontroli dostępu, a także sygnalizuje, że najsłabszy punkt nie zawsze musi znajdować się w samych kontraktach mostu. Kompromitacje kluczy prywatnych były również pierwotną przyczyną naruszeń Ronin i Wormhole, co czyni bezpieczeństwo operacyjne u operatorów mostów powtarzającym się punktem awarii odrębnym od błędów na poziomie kodu.

Cointelegraph zwrócił się do AFX o komentarz w sprawie zgłoszonego exploita. Dostępne informacje koncentrują się na obserwacjach dokonanych przez Blockaid i powiązanych śledczych podczas incydentu.

Atak na Verus Ethereum Bridge przypomina wcześniejszy incydent z maja

W oddzielnym incydencie Blockaid zgłosił exploit wymierzony w Verus Ethereum Bridge, który wyprowadził około 7,5 mln USD w wielu aktywach przechowywanych w rezerwach mostu. Dotknięte tokeny obejmowały Ether (ETH), tBTC, USDC, USDt, EURC, MKR i scrvUSD.

Blockaid zauważył, że metoda ataku wydaje się podobna do wcześniejszego incydentu dotyczącego Verus Ethereum Bridge, zgłoszonego w maju, który doprowadził do kradzieży 11,58 mln USD. W tamtym przypadku zastosowano to samo ogólne podejście, ale wykonał je inny portfel atakującego. Powtórzenie sugeruje, że nawet po pierwszym wykorzystaniu ten sam strukturalny mechanizm pozostał dostępny — to wzorzec odmienny od jednorazowych naruszeń mostów, w których poprawki zamykały konkretny wektor ataku.

Według Blockaid atakujący wykorzystał „import path” mostu, aby uruchomić „unbacked Ethereum-side payouts.” W praktyce wskazuje to na słabość na poziomie przepływu pracy: atakujący mogą być w stanie skłonić most do uwolnienia aktywów po jednej stronie systemu bez odpowiadającego im zabezpieczenia po drugiej stronie, tworząc bezpośredni mechanizm uszczuplania rezerw.

Powtarzalny charakter tej taktyki budzi utrzymujące się obawy użytkowników i integratorów. Nawet gdy zespoły deweloperskie łatają konkretną lukę, operacyjne mechanizmy regulujące importy i wypłaty mogą nadal nadawać się do wykorzystania, jeśli podstawowe założenia nie zostaną w pełni uwzględnione.

Dlaczego awarie mostów nadal występują

Exploity mostów pozostają trudne do całkowitego wyeliminowania, ponieważ infrastruktura cross-chain zwykle łączy wiele komponentów: przechowywanie aktywów, przekazywanie komunikatów lub mechanizmy importu/eksportu oraz systemy uprawnień do uruchamiania przepływów rozliczeniowych. Gdy atakujący znajdą lukę pomiędzy tymi elementami — czy to przez przejęte dane uwierzytelniające, nieprawidłową autoryzację, czy słabości w sposobie walidacji stanów międzyłańcuchowych — skutkiem często jest szybkie wyprowadzenie środków.

Śledczy on-chain TheCrypticWolf podsumował szerszy problem we wpisie na X, argumentując, że mosty pozostają słabym ogniwem, dopóki „security is upgraded.” Choć stwierdzenie to odzwierciedla ogólną perspektywę, a nie dowód specyficzny dla incydentu, dwa zgłoszone ataki z tego samego dnia nadają mu konkretne uzasadnienie: wysokowartościowe rezerwy mostów czynią te systemy atrakcyjnymi celami, a złożoność architektury sprawia, że kompleksowe wzmocnienie zabezpieczeń jest istotnym wyzwaniem.

Między tymi dwoma incydentami istnieje ważna asymetria. Raport Blockaid dotyczący sprawy AFX został uzupełniony wyjaśnieniem Goldfedera, że natywny most Arbitrum nie został naruszony, co sugeruje, że problem miał źródło w integracji zewnętrznej lub kontrolach mostu powiązanych z konkretnym protokołem. Natomiast opis incydentu Verus przedstawiony przez Blockaid podkreśla, że mechanizm importu mostu może generować wypłaty po stronie Ethereum, które nie są właściwie zabezpieczone — problem, który może bardziej bezpośrednio dotyczyć logiki rozliczeń i założeń dotyczących stanu.

Konsekwencje dla dotkniętych ekosystemów

Incydenty związane z mostami zwykle uruchamiają środki awaryjne, w tym mechanizmy pauzowania, wzmożony monitoring oraz modyfikacje przepływów przechowywania aktywów lub autoryzacji. Dotknięte strony powinny monitorować kolejne ujawnienia ze strony AFX i ekosystemu Verus, szczególnie w zakresie tego, co Blockaid i inni śledczy ustalą na temat pierwotnej przyczyny — czy była to kompromitacja kluczy, błąd autoryzacji, czy powtarzalna słabość w rozliczeniach importu/eksportu.

Szerzej rzecz ujmując, wydarzenia te wzmacniają wniosek, że ekspozycja cross-chain wykracza poza samych operatorów mostów. Zdecentralizowane aplikacje i traderzy polegający na mostach w zakresie płynności i rozliczeń powinni traktować bezpieczeństwo mostów jako stale ewoluujące ryzyko, a nie jednorazową kwestię do odhaczenia. Incydent Verus w szczególności pokazuje, że znany i wcześniej wykorzystany wektor ataku może utrzymywać się pomiędzy incydentami oddzielonymi miesiącami, co oznacza, że sama świadomość wcześniejszego naruszenia nie jest wystarczającym dowodem na rozwiązanie problemu u podstaw.