Компания в области блокчейн-безопасности Blockaid обнаружила продолжающийся эксплойт, нацеленный на кроссчейн-мост Ankr в сети Ethereum. В предупреждении, опубликованном 9 ноября 2026 года, сообщалось, что атакующий вывел из моста около $292 тыс. посредством пяти несанкционированных выводов средств — и предупредила, что атака еще продолжалась на момент выпуска предупреждения.

🚨Blockaid detected an ongoing exploit on @ankr on Ethereum. An attacker submitted five withdraw calls on Ankr's Ethereum cross-chain bridge, using a tiny Optimism deposit to unlock the bridge's full locked inventory to a new wallet. ~$292k drained from the bridge so far across ~5 txs. Attack still ongoing. 🧵

— Blockaid (@blockaid_) November 9, 2026

Инцидент поднимает вопросы о том, как мост проверяет кроссчейн-транзакции и разрешает высвобождение активов. Кроссчейн-мосты давно входят в число наиболее часто атакуемых объектов инфраструктуры в отрасли: они удерживают крупные пулы заблокированных активов одновременно для двух сетей, и несколько крупнейших эксплойтов в истории криптовалют были связаны именно с ними. Именно поэтому компании по безопасности постоянно отслеживают контракты мостов, и почему даже кража на шестизначную сумму вызывает немедленное публичное предупреждение.

Один депозит в Optimism связан с пятью выводами средств

По данным Blockaid, атакующий выполнил пять вызовов вывода средств на мосту Ankr в сети Ethereum. Эти транзакции, как сообщается, включали внесение небольшой суммы средств из сети Optimism, которая затем использовалась для разблокировки активов из контракта моста Ethereum. Компания по безопасности оценила общий ущерб примерно в $292 тыс. в рамках примерно пяти транзакций, а похищенные средства были отправлены на недавно созданный кошелек для вывода.

Похищенные средства не ограничивались одним активом. Вместо этого они охватывали несколько токенов, включая токены жидкого стейкинга, связанные с Ankr, и ANKR — нативную криптовалюту Ankr.

В нормальном режиме работы кроссчейн-мост разблокирует активы в одной цепочке после внесения депозита в исходной цепочке. Если одна и та же транзакция может быть представлена в качестве доказательства авторизации для другого вывода средств, один депозит потенциально может быть использован более одного раза. Первоначальное предупреждение Blockaid не раскрывало точную техническую уязвимость и не объясняло, как атакующий обошел механизмы авторизации моста, однако характер атаки указывает на сбой на этапе проверки, предшествующем высвобождению активов.

Кошельки операторов Ankr были опустошены до атаки

На активность в блокчейне, предшествовавшую выводу средств, также повлиявшую на инцидент. Blockaid сообщила, что в период с 02:08 до 04:06 UTC несколько кошельков операторов Ankr были опустошены в сетях Ethereum, Arbitrum и Linea, а средства были переведены на один консолидированный кошелек.

Затем атакующий провел транзакции с этого кошелька для оплаты комиссии ретранслятора, который отправил транзакции на мост. Эта последовательность указывает на то, что операция была проведена только после того, как атакующий подготовил необходимую транзакционную инфраструктуру. Однако сами перемещения средств между кошельками не показывают, как был получен доступ к кошелькам операторов и были ли скомпрометированы их приватные ключи.

Пять транзакций были нацелены на мост Ethereum

Blockaid выявила два адреса эксплойта и опубликовала пример транзакции с участием скомпрометированного контракта моста. Все выводы средств были нацелены на один и тот же мост Ethereum, а выведенные средства были отправлены на кошелек атакующего.

Заявленный объем потерь отражает сумму, выведенную на момент выпуска предупреждения Blockaid, а не итоговый результат инцидента. Это различие имеет значение, поскольку атака еще продолжалась, когда компания по безопасности подняла тревогу. Итоговый объем потерь может измениться в зависимости от дополнительных транзакций, а также корректировок цен затронутых токенов.

Поскольку эксплойт еще не был устранен на момент предупреждения, ключевыми событиями, за которыми стоит следить, являются пересмотренная оценка потерь, техническое раскрытие информации о том, как небольшой депозит мог разблокировать запасы моста, а также любая операционная реакция со стороны самой Ankr. Blockaid отметила свое предупреждение как начало треда, что сигнализирует о возможном появлении дополнительных деталей инцидента.

Инцидент привлекает внимание к кроссчейн-верификации. Мосты зависят от надежной коммуникации между сетями, а их безопасность основана на корректной проверке депозитов, сообщений и авторизаций на вывод средств. Сбой на любом этапе этого процесса может привести к риску для активов, удерживаемых в контрактах мостов, даже если исходный депозит является легитимным.