Мост, управляемый децентрализованной платформой деривативов AFX Trade, в среду потерял 24.15 млн USDC после того, как несанкционированный вывод прошел процедуру одобрения валидаторами и процесс оспаривания.

Blockaid обнаружила эксплойт примерно в 21:30 UTC 22 июля. В публикации в X компания по безопасности заявила, что затронутая инфраструктура находилась под управлением AFX и что она работает с участниками Arbitrum, чтобы связаться с протоколом и ограничить движение похищенных средств: https://x.com/blockaid_/status/2080080240265621680

До транзакции в мосту находилось около $24.2 млн в USDC. После вывода в мосту осталось мало ликвидности в стейблкоинах.

Предварительный ончейн-анализ показал, что подписи, связанные с пятью hot-валидаторами, одобрили перевод 24,150,000 USDC. Эти подписи соответствовали 7,142 из 10,000 единиц валидаторской мощности моста, превысив порог в две трети, необходимый для авторизации вывода.

Мосты на основе валидаторов обычно полагаются на кворум подписантов и период оспаривания, чтобы предотвращать несанкционированные переводы до выпуска активов. В данном случае запрос затем прошел через окно оспаривания продолжительностью примерно 200 секунд, после чего контракт моста выпустил средства. На момент публикации AFX не выпустила технический разбор, подтверждающий, были ли похищены ключи валидаторов, скомпрометированы подписанты или другая слабость в авторизации позволила транзакции пройти.

Злоумышленник конвертирует USDC в 12,467 ETH

Злоумышленник перевел USDC из Arbitrum в Ethereum с использованием Circle’s Cross-Chain Transfer Protocol, а затем обменял средства примерно на 12,467 ETH.

Lookonchain сообщила, что средняя цена покупки была около $1,937 за ETH: https://x.com/lookonchain/status/2080092059252486487. Конвертированные активы стоили примерно $24.15 млн на момент завершения свопов.

Генеральный директор Offchain Labs Steven Goldfeder заявил, что транзакция исходила от стороннего протокола и что нативный мост Arbitrum не был взломан или эксплуатирован: https://x.com/sgoldfed/status/2080071210847674709. Это различие важно, поскольку базовая инфраструктура мостов Arbitrum и независимые мосты на уровне приложений имеют отдельные модели безопасности, операторов и механизмы контроля рисков. Команда Arbitrum начала координацию с затронутым проектом в ходе расследования вывода.

На момент публикации AFX не объявила о соглашении по возврату средств, процедуре компенсации или окончательном объяснении одобрений валидаторов.

Эксплойты мостов увеличивают недельные потери DeFi

Вывод из AFX произошел после нескольких других атак, о которых сообщалось на той же неделе, усилив внимание к кроссчейн-системам и офчейн-компонентам, которые многие из них используют для одобрения переводов. Balance Coin обрушилась после oracle-эксплойта на $915,000 в 42DAO 22 июля, когда манипулированная цена BTCB вызвала ликвидации и выпуск недостаточно обеспеченных BLC.

Wanchain отключила свой мост Cardano-BNB Chain после того, как 515 млн NIGHT покинули ее казну через транзакции, связанные с предполагаемой уязвимостью повторного использования подписи.

Allbridge Core также приостановила операции после Solana flash-loan-эксплойта на $1.65 млн, который манипулировал ценообразованием в ее пуле стейблкоинов.