Эксплойт, нацеленный на кроссчейн-мост AFX Trade на Arbitrum, как сообщается, привел к выводу более $24 million в USDC, согласно ранним ончейн-предупреждениям служб безопасности, которые пока не были полностью независимо подтверждены. Инцидент связан с мостом, хранящим стейблкоин, привязанный к доллару, что делает его одним из наиболее значительных предполагаемых случаев вывода USDC через мост в этой сети. Кроссчейн-мосты исторически относятся к числу наиболее часто атакуемых сегментов инфраструктуры децентрализованных финансов; такие инциденты, как эксплойты Wormhole ($326 million), Nomad ($190 million) и Ronin Network ($624 million), входят в число крупнейших зафиксированных потерь в секторе.

Блокчейн-компания по безопасности Blockaid была одной из первых, кто сообщил об инциденте; информация о предполагаемых потерях распространялась в ранних предупреждениях служб безопасности. Сама AFX Trade затем признала, что средства были выведены, и, в рамках отдельного шага, предложила злоумышленнику 30% вознаграждение за возврат оставшихся активов. Такие предложения вознаграждения соответствуют хорошо задокументированной практике реагирования на инциденты в DeFi, когда проекты пытаются договориться о частичном возврате, оформляя его как соглашение с white-hat участником, хотя результаты в прошлых случаях существенно различались.

Что остается неподтвержденным

На момент публикации материалы по этому событию подтверждены лишь частично. Нет подтвержденного списка эксплуатированных транзакций, завершенного независимого анализа механики эксплойта или экспертных комментариев в открытом доступе. Для полной оценки потребовались бы адрес контракта моста, кошелек атакующего и конкретные транзакции перевода, видимые в обозревателе блоков Arbitrum, — ни один из этих элементов на данном этапе официально не задокументирован.

Заявленную сумму потерь следует рассматривать как утверждение, основанное на ранних предупреждениях служб безопасности и заявлениях самой AFX Trade, а не как независимо подтвержденную цифру. Читателям следует различать заявленные потери и подтвержденные потери. Пока ончейн-записи не подтвердят движение средств, а AFX Trade не опубликует полный постмортем, итоговая сумма остается оценкой, а не установленным числом.

Значение для Arbitrum и кроссчейн-инфраструктуры

Мосты хранят объединенные пользовательские средства для перемещения активов между сетями, что делает их концентрированными целями. Один дефект контракта или компрометация ключа могут сразу поставить под угрозу весь пул, в отличие от потери средств отдельного кошелька. Именно такая архитектурная концентрация объясняет, почему мосты неоднократно подвергались атакам: объединенная ликвидность создает высокоценную цель с единой точкой отказа. Arbitrum является крупнейшим Ethereum layer-2 rollup по активности, согласно метрикам rollup от L2Beat, что повышает операционные риски при компрометации инфраструктуры, построенной в этой сети.

Крупный вывод средств, номинированный в USDC, значим даже без волатильности цены токена, поскольку USDC предназначен для сохранения стабильной долларовой стоимости. Значение инцидента заключается в операционном доверии к кроссчейн-инфраструктуре, а не в какой-либо рыночной переоценке самого стейблкоина. Совокупная заблокированная стоимость в кроссчейн-мостах в более широкой экосистеме снизилась относительно пиков 2022 года, отчасти из-за повторяющейся модели эксплойтов, даже несмотря на продолжающийся рост внедрения layer-2.

Инцидент произошел на фоне более пристального внимания отрасли к безопасности мостов и аккаунтов после резонансных захватов учетных записей и продолжающегося стремления к более безопасным механизмам кроссчейн-расчетов, включая усилия по переносу регулируемых депозитов в ончейн-среду. Для пользователей, переводящих средства через Arbitrum, практическая рекомендация состоит в том, чтобы отслеживать официальные заявления AFX Trade, дождаться независимого ончейн-подтверждения потерь и следовать любым уведомлениям относительно затронутых адресов.