Злоумышленник вывел почти 200 000 XRP, стоимостью примерно $202 000, с моста XRP Ledger, которым управляет Tx, 9 августа, используя уязвимость в программном обеспечении для определения депозитов. Кросс-чейн мосты — которые блокируют активы в одной блокчейн-сети и выпускают соответствующие токены в другой — относятся к числу наиболее часто атакуемых компонентов в децентрализованных финансах, а аналогичные сбои в проверке депозитов в последние годы приводили к ряду громких взломов мостов.

В публикации на X во вторник Tx — проект, который управляет мостом, соединяющим Tx Chain и XRP Ledger, — пояснил, что сбой в ПО заставлял систему регистрировать транзакции как депозиты XRP, даже когда XRP фактически не поступали на мост.

«Злоумышленник воспользовался логикой определения депозитов моста», — написала компания. «ПО моста ошибочно регистрировало как депозиты транзакции, которые на самом деле не доставляли на мост никаких XRP, и на их основе выпускало bridged XRP в tx chain».

Tx — это экосистема блокчейна первого уровня, запущенная в марте путем объединения блокчейна Coreum с Sologenic, платформой токенизации и торговли на базе XRP Ledger.

Используя эти фиктивные депозиты, злоумышленник создал на Tx Chain необеспеченные XRP, а затем обменял их через мост на настоящие XRP.

Tx заявила, что до запуска мост прошел несколько внутренних и внешних аудитов, однако уязвимость выявлена не была.

Согласно анализу XRPL, независимой платформы для торговли и аналитики XRP Ledger, мост выпустил примерно 199 916 XRP в рамках 94 платежей за 97 минут. Каждый платеж был одобрен 17 из 28 relayers моста — программ, которые отслеживают обе блокчейн-сети и санкционируют переводы.

По данным XRPL, relayers приняли транзакции, инициированные самим злоумышленником, за легитимные депозиты. После этого злоумышленник вывел необеспеченные остатки через стандартный процесс моста.

Анализ также отверг прежнюю версию о том, что XRP были выведены через «rippling» — механизм XRPL, который перемещает выпущенные токены по trust lines. Нативный XRP не может перемещаться через rippling, отмечает XRPL.

«Широко разошедшееся предупреждение обвиняло “rippling” и флаг учетной записи, который включен по умолчанию. Однако реестр говорит об обратном: каждый из этих платежей был подписан собственным multisig моста, а native XRP вообще не может быть rippled», — написала XRPL. «Если сопоставить обе публичные сети, реальная причина в том, что relayer принял собственные самоплатежи злоумышленника за депозиты».

В отдельной публикации на X Reza Bashash, партнер CoreNest Capital и сооснователь Sologenic и Coreum, заявил, что злоумышленник конвертировал похищенные XRP в Ethereum, перевел их в сеть Ethereum через THORChain и отправил всю сумму в криптомиксер Tornado Cash, что значительно усложнило отслеживание средств. Tornado Cash был санкционирован Управлением по контролю за иностранными активами Министерства финансов США в августе 2022 года, поэтому лицам из США, как правило, запрещено взаимодействовать с протоколом.

Tx сообщила, что остановила мост, устранила затронутый код, отследила похищенные средства и подала жалобу в FBI’s Internet Crime Complaint Center. Компания также привлекла специалистов по блокчейн-криминалистике и работает с партнерами по безопасности.

«Пока мы используем все доступные правовые пути, мы одновременно оцениваем все варианты устранения последствий для пострадавших пользователей», — заявила Tx.

Мост остается офлайн до завершения проверки безопасности. Tx сообщила держателям, что с их стороны не требуется никаких действий, и предупредила об аккаунтах и сайтах, которые утверждают, что могут вернуть украденные средства.

Несмотря на инцидент, цена XRP почти не изменилась. Связанный с Ripple токен по-прежнему торгуется около отметки $1, при рыночной капитализации примерно $64 млрд, снизившись примерно на 5,5% за последние 30 дней.