El retransmisor operado por Risk Labs de Across Protocol perdió menos de $4 millones después de que un atacante fabricara eventos de depósito de Solana por valor de $41.7 millones, según un informe post-incidente publicado por el protocolo de cadena cruzada.
El ataque ocurrió entre las 05:07 y las 06:14 UTC del 17 de julio, según el análisis post-mortem de Across Protocol. El atacante utilizó 1,627 billeteras Solana de un solo uso para crear el mismo número de eventos de depósito falsos.
Esos depósitos tenían un valor nominal combinado de aproximadamente $41.7 millones y solicitaron pagos a través de 18 cadenas de destino. Across informó que los fondos fueron dirigidos a una única dirección de destinatario en una red compatible con la Máquina Virtual de Ethereum.
El retransmisor de Risk Labs atendió 581 solicitudes antes de que Across detuviera las operaciones de Solana. Esos pagos representaron aproximadamente el 35.7% de las solicitudes fraudulentas, pero solo el 10.8% de su valor declarado.
El retransmisor adelantó aproximadamente $4.5 millones de su propio capital. Across invalidó las 1,046 solicitudes restantes, evitando pagos adicionales por unos $37 millones.
Aproximadamente $500,000 pertenecientes al atacante quedaron atrapados dentro del protocolo. Across dedujo esa cantidad del pago bruto para situar su pérdida neta por debajo de $4 millones.
Across atribuyó la brecha a una falla en el software de lectura de eventos fuera de la cadena de Risk Labs, en lugar de una vulnerabilidad en sus contratos inteligentes. El protocolo también informó que el atacante no comprometió la red Solana.
Across utiliza retransmisores que adelantan sus propios activos para completar transferencias entre cadenas antes de reclamar el reembolso. Esa estructura dejó al retransmisor de Risk Labs responsable de la pérdida en lugar de los usuarios que habían enviado transacciones legítimas.
Todas las transferencias válidas se completaron o se reembolsaron en su totalidad el 17 de julio, según Across. El sitio web del protocolo muestra que ha procesado más de $34 mil millones en transferencias sin informar una pérdida de fondos de los usuarios.
El incidente difirió del exploit de Lien Finance reportado por crypto.news el 24 de julio. SlowMist descubrió que el atacante de Lien explotó una falla de validación de contrato inteligente para acuñar tokens de bonos no soportados y retirar aproximadamente 542,144.63 USDC.
crypto.news también informó que una billetera vinculada al exploit de $285 millones de Drift Protocol movió 23,095.1 ETH, valorados en aproximadamente $44.4 millones, a través de Tornado Cash el 23 y 24 de julio. En conjunto, los incidentes involucraron métodos de ataque separados: falla de software fuera de la cadena en Across, lógica de contrato defectuosa en Lien, y lavado post-exploit ligado a Drift.
Across restauró el servicio de Solana en aproximadamente 12 horas enrutando las transferencias a través del Protocolo de Transferencia de Cadena Cruzada (CCTP) de Circle. El protocolo informó que sus ingenieros implementaron la solución de la causa raíz aproximadamente cinco horas después del ataque.
El cambio tiene una conexión directa con EE. UU. porque Circle emite USDC y opera CCTP. Circle afirma que CCTP quema USDC nativo en la red de origen y acuña la misma cantidad en la red de destino sin utilizar pools de liquidez de puentes tradicionales o intermediarios de terceros.
Para los usuarios de EE. UU. que mueven USDC hacia o desde Solana, la opción alternativa permitió reanudar las transferencias sin depender del lector de eventos afectado de Risk Labs. La brecha de Across no involucró las reservas de USDC ni los contratos de acuñación de Circle, según los hallazgos del protocolo.
El cambio también se produce después de que Estados Unidos estableciera su primer marco federal de stablecoins de pago a través de la Ley GENIUS. La ley exige que los emisores autorizados mantengan reservas calificadas y publiquen divulgaciones regulares, según una hoja informativa de la Casa Blanca. Esas reglas rigen a los emisores de stablecoins, no al software de retransmisión separado que causó la pérdida de Across.
ACX cotizaba cerca de $0.041 después del análisis post-mortem, con una capitalización de mercado de aproximadamente $29 millones, según CoinGecko. El token se mantuvo más del 97% por debajo de su máximo histórico.
Across declaró que la pérdida no afectaría su recompra de tokens ACX planificada. Sin embargo, el protocolo no reveló si Risk Labs cambiaría su financiación de retransmisores, sistemas de monitoreo o límites operativos.
El flujo de órdenes de Solana sigue siendo enrutado a través de CCTP. Across no ha proporcionado un cronograma para regresar a su sistema de enrutamiento anterior ni ha anunciado la recuperación de fondos adicionales.
