Hyperbridge, децентрализованный мост, соединяющий экосистему Polkadot с сетью Ethereum, подвергся серьезному взлому безопасности, который позволил злоумышленнику выпустить 1 миллиард несанкционированных токенов DOT.
Однако потенциальный многомиллионный куш хакера был резко сокращен до суммы около 240 000 долларов США, поскольку для обналичивания сфабрикованных активов просто не хватило ликвидности.
Хотя прямые финансовые потери от эксплойта оказались относительно ограниченными, инцидент вызвал потрясение в экосистеме Polkadot, подтолкнув нативный токен сети DOT к рекордно низким значениям на фоне общих рыночных опасений по поводу безопасности кроссчейн-операций.
Анатомия эксплойта Hyperbridge
Эксперты по безопасности объяснили, что уязвимость заключалась в том, как контракты Hyperbridge проверяли входящие кроссчейн-сообщения перед их передачей на шлюз токенов.
Фирма по безопасности блокчейна BlockSec Phalcon определила коренную причину как «уязвимость повторного использования доказательства Merkle Mountain Range (MMR)». По сути, это криптографическая слепая зона, которая позволила злоумышленнику повторно использовать старые, действительные доказательства безопасности и прикрепить их к вредоносным, вновь созданным запросам.
В основе взлома лежало отсутствие проверки входных данных в функции `VerifyProof()` системы. При стандартных кроссчейн-операциях мост должен убедиться, что запрос, исходящий из одного блокчейна, является подлинным, прежде чем выполнять соответствующее действие, например, выпуск токенов, в другом.
В данном случае контракт Hyperbridge не смог должным образом привязать отправленный полезный груз запроса к проверенному доказательству. Система просто проверяла, не использовался ли ранее хеш запроса, не проверяя, соответствует ли доказательство сообщению, которое оно должно было аутентифицировать.
Манипулируя параметрами индекса, злоумышленник полностью обошел вычисление корня системы. Этот разрыв позволил хакеру подделать действительное кроссчейн-сообщение, повысить свои привилегии до статуса администратора и дать команду контракту выпустить 1 миллиард токенов DOT в сети Ethereum.
Тем временем основному выпуску токенов предшествовала первоначальная, менее заметная атака. Аналитик блокчейна Specter отметил, что примерно за час до массовой фабрикации DOT злоумышленник использовал связанный контракт TokenGateway, чтобы вывести 245 ETH на сумму около 537 000 долларов США.
Эти средства были быстро фрагментированы, распределены по 15 отдельным адресам кошельков порциями примерно по 16,4 ETH, и отмыты через протокол конфиденциальности Tornado Cash.
Как неглубокая глубина рынка смягчила ущерб
Хотя выпуск 1 миллиарда токенов обычно сигнализирует о катастрофическом событии, уничтожающем протокол, злоумышленник был остановлен самой механикой децентрализованных финансов: глубиной рынка.
Когда хакер крадет активы, он обычно обменивает их в пуле ликвидности автоматического маркет-мейкера (AMM) на более ликвидный, стабильный актив, такой как Ethereum или стейблкоин. Пул ликвидности оценивает активы на основе соотношения токенов, хранящихся в нем.
В данном сценарии пул DOT, переведенный в сеть Ethereum, был относительно неглубоким. Когда злоумышленник попытался сбросить 1 миллиард поддельных токенов в пул, чтобы извлечь ETH, огромный объем ордера на продажу немедленно перегрузил доступную ликвидность.
В результате алгоритм, перебалансируя соотношение, за миллисекунды резко снизил цену токенов DOT, переведенных через мост, с 1,22 доллара до крошечных долей цента.
Поскольку рынок не смог поглотить массовый ордер по стабильным ценам, прибыль злоумышленника была сильно ограничена.
Фирма по анализу блокчейна Arkham Intelligence сообщила, что хакеру удалось извлечь из пула ликвидности DOT лишь около 240 000 долларов США в виде ETH.
Между тем, если бы уязвимость была использована в более глубоком пуле или с более ценным переведенным активом, финансовые разрушения были бы экспоненциально больше.
От первоапрельской шутки к реальности
Между тем, недавний взлом несет в себе большую долю иронии для команды разработчиков Hyperbridge, произойдя менее чем через две недели после того, как проект опубликовал первоапрельскую шутку о том, что они пострадали от катастрофического эксплойта.
1 апреля официальные каналы Hyperbridge опубликовали фальшивый отчет об инциденте, в котором сообщалось о взломе на 37 миллионов долларов в их развертываниях в Ethereum, Arbitrum и Base.
В шуточном посте винили вымышленных хакеров из северокорейской группы Lazarus, вышедших из-под контроля агентов искусственного интеллекта и даже квантовые вычисления. Пост зашел так далеко, что пошутил, будто внешние аудиторы пытались предупредить команду, но разработчики были офлайн, поедая батончики KitKat в честь того, что инженер стал отцом.
В то время проект отмахнулся от критики сообщества по поводу этой шутки, публично хвастаясь, что их основное сообщество знает, что протокол «невозможно взломать».
Эта самонадеянность испарилась к моменту публикации, поскольку разработчикам протокола пришлось в реальном времени остановить платформу.
Parity Technologies, основная фирма-разработчик экосистемы Polkadot, быстро вмешалась, чтобы справиться с последствиями. Фирма разъяснила, что эксплойт был строго изолирован контрактом шлюза Hyperbridge в сети Ethereum.
Она добавила, что основной сеть Polkadot, подключенные парачейны и нативные токены DOT остались полностью защищенными и не пострадали от взлома.
Страхи заражения толкают Polkadot к рекордно низким уровням
Несмотря на то, что базовый блокчейн Polkadot никогда не был скомпрометирован, психологическое воздействие взлома его самого доминирующего моста сильно сказалось на его нативной валюте.
После новостей о взломе данные CryptoSlate показали, что нативный токен DOT Polkadot упал на 5% во время ранних азиатских торговых часов в понедельник, опустившись до 1,14 доллара.
Это падение подталкивает актив опасно близко к его историческому минимуму в 1,13 доллара. Токен застрял в жестокой нисходящей спирали, потеряв около 70% своей стоимости за последний год на фоне общего спада на крипторынке и ослабления розничного интереса к устаревшим альтернативным сетям первого уровня.
Для экосистемы Polkadot эксплойт Hyperbridge — это наихудший сценарий с точки зрения рыночной оптики.
Даже когда разработчики подчеркивают техническое различие между уязвимым сторонним контрактом Ethereum и безопасной основной сетью Polkadot, розничные инвесторы часто рассматривают бренд как монолит.
До тех пор, пока кроссчейн-инфраструктура не достигнет того же уровня безопасности, что и базовые блокчейны, которые она соединяет, эти события с ликвидностью будут продолжать тянуть вниз доверие всего рынка.
Мосты остаются самым слабым звеном Web3
Тем временем инцидент с Hyperbridge подчеркивает постоянную и системную уязвимость в децентрализованных финансах: кроссчейн-мосты по своей сути хрупки.
В экосистеме Web3 мосты являются жизненно важной инфраструктурой. Они позволяют разрозненным, изолированным блокчейнам общаться, предлагая пользователям большую гибкость, более низкие комиссии и доступ к более широкому спектру децентрализованных приложений.
Однако для функционирования эти мосты должны хранить огромные резервы заблокированных активов на одной стороне для выпуска соответствующих «обернутых» активов на другой.
Поскольку эти протоколы по сути действуют как огромные «медовые горшки», управляемые сложными смарт-контрактами, они представляют собой самую прибыльную цель для киберпреступников.
Если хакер сможет скомпрометировать закрытые ключи валидаторов моста или, как в случае с Hyperbridge, использовать уязвимость в коде смарт-контракта, он сможет захватить административный контроль и вывести базовые активы или напечатать бесконечное предложение.
Примечательно, что история криптоиндустрии усеяна разрушительными эксплойтами мостов. В марте 2022 года мост Ronin Network, созданный для игровых экосистем Axie Infinity, был опустошен более чем на 600 миллионов долларов в результате одного из крупнейших ограблений в истории криптоиндустрии.
Позже в том же году кроссчейн-мост BNB Chain пострадал от эксплойта кода, что привело к несанкционированному созданию 2 миллионов токенов BNB на сумму около 566 миллионов долларов. Другие катастрофические взломы включают взлом Wormhole на 321 миллион долларов и эксплойт моста Nomad на 190 миллионов долларов.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Oluwapelumi Adejumo
