AFX и мост Verus-Ethereum понесли совокупные потери в размере около $31,69 млн в течение нескольких часов друг от друга, а B² Network отдельно приостановил стейкинг токенов после несанкционированного доступа к полномочиям на обновление контракта.
Blockaid сообщила, что обнаружила эксплуатацию AFX примерно в 21:30 UTC 22 июля. Транзакция в Arbitrum зафиксировала вывод 24,15 млн USDC из моста, управляемого AFX, децентрализованного торгового протокола на Arbitrum.
AFX приостановил свой мост хранения USDC и заявил, что инцидент изолирован от его торговой инфраструктуры, основной сети и сети Arbitrum. Пострадавшим компонентом стал сторонний мост, а не собственный мост Arbitrum.
В предварительных результатах, опубликованных 24 июля, AFX связал инцидент с скоординированным социальным инжинирингом и компрометацией инфраструктуры. Протокол заявил, что доступ, по-видимому, начался в среде разработки, а затем перешел на внутреннюю инфраструктуру сборки и системы валидаторов.
AFX заявил, что проверяет балансы, занимается возвратом средств и готовит меры по устранению последствий. По состоянию на 24 июля он не объявил о завершенном возврате средств или окончательном плане компенсации.
Через несколько часов после инцидента с AFX транзакция Ethereum показала вывод мостом Verus 1 137,4528 ETH и семь переводов токенов. Blockaid оценила необеспеченные выплаты примерно в $7,54 млн.
Анализ SlowMist сообщил, что мост одобрил восемь выводов без подтверждения, что соответствующие активы их обеспечивают. Фирма связала эту ошибку с тем же широким классом проверки межсетевого импорта, что и эксплойт в мае, но отметила, что две атаки использовали разные механизмы.
Инцидент с B² не был раскрыт как эксплойт моста. Сеть заявила о несанкционированном доступе к полномочиям на обновление контракта стейкинга. B² приостановил обычный стейкинг на время проверки безопасности, заявил, что проблема локализована, и пообещал полную компенсацию пострадавшим пользователям. По состоянию на 24 июля документально подтвержденного возмещения не было.
B² также предложил ручной выход: пользователи могли запросить вывод средств из стейкинга через официальный Discord, при этом запросы с подтверждением права собственности обрабатывались в течение одного рабочего дня. Сеть не указала сумму потерь, поэтому ее инцидент исключен из общего объема потерь мостов в $31,69 млн. Пока обычный стейкинг не возобновится, этот ручной обзор — единственный путь, который B² предложил пользователям, желающим вывести застейканные токены.
Эти три эпизода выявили разные уязвимости в контроле, выходящем за рамки консенсуса базовой сети. Инфраструктура хранения и валидаторов AFX, проверки бухгалтерского учета моста Verus и полномочия на обновление контракта стейкинга B² — каждый из этих элементов стал точкой, где нормальный доступ дал сбой.
Для пользователей следующим испытанием станет то, вернут ли планы восстановления средства, подтвердит ли межсетевая валидация экономическое обеспечение и будут ли защищены полномочия на обновление без необходимости ручного вмешательства при экстренном выходе.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
