Эксплойт, нацеленный на мост AFX, по сообщениям, привел к потере примерно $24.15 млн в USDC, согласно неподтвержденным ранним данным об инциденте. Точный способ, с помощью которого злоумышленник получил доступ к кроссчейн-инфраструктуре, не был независимо проверен, а опубликованные цифры следует считать предварительными.

Потери номинированы в USDC — стейблкоине, привязанном к доллару и предназначенном для поддержания стоимости на уровне $1, что дает выведенному балансу прямую долларовую оценку. USDC является вторым по величине стейблкоином по рыночной капитализации, а его циркулирующее предложение и кроссчейн-торговая активность отслеживаются на CoinGecko.

Поскольку опубликованные цифры исходят из одного раннего источника, точный механизм эксплойта, конкретные затронутые блокчейны и итоговая сумма потерь остаются неподтвержденными до тех пор, пока команда проекта AFX или проверяемые ончейн-данные не предоставят подтверждение.

Почему эксплойты мостов могут приводить к крупным потерям в стейблкоинах

Кроссчейн-мосты удерживают объединенные активы, чтобы обеспечивать переводы токенов между блокчейнами. Такая архитектура концентрирует значительную стоимость в одном смарт-контракте, что делает мосты регулярной целью для злоумышленников. На долю мостов приходились одни из крупнейших эксплойтов DeFi за всю историю, включая инцидент Ronin Network в марте 2022 года, когда было похищено примерно $625 млн, и эксплойт моста Wormhole месяцем ранее, приведший к потерям около $325 млн. Когда мост опустошается, пострадать может любой пользователь, чьи средства в тот момент были заблокированы в контракте.

Такая схема проявлялась и в нескольких недавних инцидентах. Allbridge, отдельный кроссчейн-протокол, был приостановлен после эксплойта на $1.65 млн в Solana. В другом случае предполагаемый эксплойт Hedera был связан со средствами, впоследствии перемещенными в Ethereum.

Поскольку стейблкоины имеют фиксированную долларовую стоимость, потеря, номинированная в USDC, сразу превращается в понятную заголовочную сумму в долларах. Это, как правило, сильнее усиливает обеспокоенность по поводу ликвидности и доверия пользователей, чем сопоставимая потеря в волатильном токене. Повторяющийся характер эксплойтов мостов способствовал общеотраслевым призывам к более строгому мультиподписному контролю, формальным аудитам безопасности и программам bug bounty для кроссчейн-инфраструктуры. Данные о предложении стейблкоинов и их распределении по сетям можно отслеживать через дашборды стейблкоинов DeFiLlama.

Что дальше

Потеря такого масштаба обычно привлекает внимание к реакции затронутого проекта — в частности, к тому, приостановит ли команда мост, опубликует ли отчет об инциденте и будет ли прозрачно взаимодействовать с пользователями. В доступных данных официальное заявление AFX не подтверждено.

Пользователи будут искать ясности по нескольким ключевым вопросам: затронуты ли сейчас выводы средств, какая экспозиция остается в контракте и готовится ли какой-либо план компенсации. Реакции на похожие инциденты различались. Например, Gnosis Pay возместила средства пользователям после эксплойта на $1.8 млн. Напротив, недавний эксплойт Ethereum DeFi оставил затронутым участникам ограниченные возможности для возмещения, что показывает, насколько сильно результаты различаются от проекта к проекту.

Дальнейшие детали — включая подтвержденную сумму потерь и конкретный вектор атаки — могут быть пересмотрены по мере того, как расследователи и команда AFX будут публиковать проверенную информацию.