Поддельная сеть, выдававшая себя за GIWA — проект Layer 2 при поддержке Upbit, — собрала почти 2 млн долларов в ETH после того, как пользователей направили на неофициальный RPC-эндпоинт и мост к мейннету, который так и не был запущен.

Всего 1335 адресов перевели через мост около 767,65 ETH в поддельную сеть, прежде чем примерно 766,25 ETH были выведены. Мошенническая среда, включавшая мост и batcher в стиле OP Stack, начала работу после развертывания 27 сентября.

Мейннет GIWA всё ещё находится в разработке. Единственная публично доступная сеть GIWA — это GIWA Sepolia, тестовая сеть Layer 2 для Ethereum, использующая chain ID 91342, тестовый ETH и официальный эндпоинт sepolia-rpc.giwa.io, согласно официальной документации.

Поддельная сеть использовала другой Chain ID

Мошенническая сеть работала с chain ID 9134 — на одну цифру короче, чем конфигурация 91342, используемая GIWA Sepolia.

Chain ID — это идентификаторы, с помощью которых кошельки и приложения различают EVM-сети, поэтому разница в одну цифру была проверяемым техническим маркером, отделявшим поддельную конфигурацию от той, что GIWA указывает в собственной документации.

DYORSWAP добавил среду GIWA с chain ID 9134 наряду со своими развертываниями в других EVM-сетях, согласно его публичной документации. В результате поддельная цепочка оказалась внутри инфраструктуры, которую пользователи могли воспринимать как рабочее развертывание экосистемы GIWA, хотя производственной сети GIWA не существовало.

Поддельный Layer 2 не ограничился клонированным сайтом. Он обрабатывал транзакции, управлял мостом и batcher и публиковал пакетызакций в Ethereum, предоставляя пользователям среду, которая вела себя как работающий Layer 2, пока средства не были выведены. Такой уровень функциональности показывает, что кампании по имитации теперь действуют на уровне инфраструктуры, а не только интерфейса: поддельная сеть может запускать собственный мост, пакетирование и расчеты в Ethereum, тогда как копируемый проект опубликовал лишь документацию тестовой сети.

Три ранних депозита на общую сумму 0,4 ETH поступили всего через 39 блоков после активации моста. Два из них были отправлены с кошельков, совершавших свою первую исходящую транзакцию, и эти адреса сейчас входят в число активности, проверяемой как возможные тестовые кошельки, связанные с развертыванием.

GIWA предупредила, что мейннет не запущен

GIWA отреагировала, когда по социальным каналам распространились заявления об анонсированном мейннете и утечке RPC.

«We DO NOT have our mainnet running currently» («Наш мейннет сейчас НЕ запущен»), — предупредила GIWA в X 27 сентября, добавив, что публикации с заявлениями о наличии информации о RPC мейннета GIWA являются ложными, и призвав пользователей проверять контракты перед взаимодействием с ними.

Более раннее предупреждение GIWA было столь же прямым: «we haven't launched our mainnet yet» («мы ещё не запускали наш мейннет»), что делало предполагаемую утечку RPC мейннета невозможной.

GIWA Sepolia использует тестовые активы, не имеющие экономической ценности, и отделена от биржевых сервисов Upbit. GIWA также в настоящее время не планирует выпускать отдельный нативный токен: ETH определен как базовый актив Layer 2.

Кампании по крипто-имитации все чаще копируют легитимную инфраструктуру и брендинг, включая недавнюю фишинговую кампанию против Trezor и BitBox, использовавшую поддельные предупреждения о безопасности для направления пользователей кошельков на вредоносные страницы.

DYORSWAP начинает компенсации пострадавшим

Более 200 ETH уже распределено среди пострадавших пользователей из собственных средств DYORSWAP, пока продолжается расследование, согласно заявлению проекта в X.

Отслеживание охватывает развернувшего мост, его первоначальное финансирование, ранние тестовые кошельки, инфраструктуру batcher и адресаты, получившие 766,25 ETH, выведенные с моста. Будут ли компенсации DYORSWAP увеличиваться дальше и что выявит продолжающееся отслеживание выведенных 766,25 ETH — вот за чем следует следить по мере развития расследования.

Инцидент не был связан со взломом действующей тестовой сети GIWA Sepolia. Вместо этого пользователи перевели реальный ETH в инфраструктуру, имитировавшую не выпущенную сеть, тогда как легитимный мост GIWA остается мостом тестовой сети Sepolia, работающим с тестовыми активами.

Эта статья впервые появилась на Crypto Adventure.