Ang Solana-based automated market maker na Aquifer ay nawalan ng humigit-kumulang $2.5 milyon sa isang exploit na kinasasangkutan ng mga wallet sa Solana at Ethereum, kung saan inaalok ng protocol ang umaatake ng 20% na gantimpala para sa pagbabalik ng karamihan ng pondo.

Iniulat ng serbisyo sa pagsubaybay sa seguridad ng Blockchain na Defimon ang pag-atake noong Agosto 31, na kinikilala ang magkahiwalay na address ng Solana at Ethereum na kontrolado ng pinaghihinalaang exploiter. Kalaunan ay nagpadala ang Aquifer ng on-chain na alok na whitehat na humihingi ng pagbabalik ng hindi bababa sa 80% ng mga asset na nauugnay sa insidente.

Ang alok ay nagbibigay sa umaatake hanggang Setyembre 3 ng 14:00 UTC upang ilipat ang mga asset, o ang kanilang katumbas na halaga, sa mga recovery address na ibinigay ng Aquifer. Ang taong kumokontrol sa mga wallet ay maaaring panatilihin ang hanggang 20% ng mga pondo bilang isang whitehat bounty kung matugunan ang mga kondisyon.

Sinabi ng Aquifer na hindi nito itutuloy ang mga sibil na paghahabol na nagmumula sa exploit kung susundin ng umaatake ang mga tuntunin, napapailalim sa naaangkop na batas. Hindi itatali ng kasunduan ang mga ahensya ng pagpapatupad ng batas, mga regulator, mga awtoridad sa parusa o iba pang ahensya ng gobyerno.

Ang Aquifer exploit ay kinasasangkutan ng mga wallet sa dalawang chain

Nagpapatakbo ang Aquifer bilang isang pagmamay-aring automated market maker sa Solana, kung saan ginagamit ang liquidity nito upang mapadali ang mga token swap. Inilalarawan ng DefiLlama ang protocol bilang isang prop AMM at kasalukuyan nitong inilista ang kabuuang halaga ng TVL nito sa humigit-kumulang $2.8 milyon.

Ang mga address na kinilala pagkatapos ng exploit ay nagpapakita ng aktibidad na sumasaklaw sa Solana at Ethereum. Ikinalink ng Defimon ang Solana address na 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J at Ethereum address na 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 sa umaatake.

Ang whitehat na mensahe ng Aquifer ay pinahintulutan sa pamamagitan ng upgrade authority ng Solana ng protocol at inilathala on-chain. Nagbigay ang proyekto ng magkahiwalay na recovery address para sa Solana at Ethereum, na nagpapahintulot sa mga asset na nauugnay sa pag-atake na maibalik sa alinmang network.

Hindi pa natutukoy ng pampublikong impormasyon kung paano eksaktong nakompromiso ang mga wallet. Walang teknikal na post-mortem ang inilabas na nagpapaliwanag kung ang mga pribadong susi, mga credential ng administrator o iba pang bahagi ng operational infrastructure ng Aquifer ay nalantad.

Ang available na impormasyon ay hindi rin nagtatatag na ang smart contract code ng Aquifer ay na-exploit. Ang paggamit ng mga address sa Ethereum at Solana ay nagbibigay ng bakas para sa mga imbestigador na sumusubaybay sa mga asset, ngunit hindi nito sa sarili nito natutukoy kung paano nakuha ang access sa mga apektadong pondo.

Ang insidente ay sumusunod sa ilang pag-atake na nauugnay sa Solana ngayong taon kung saan ang punto ng kompromiso ay nasa labas ng pinagbabatayang blockchain.

Ang mga protocol ng Solana ay nahaharap sa iba't ibang pamamaraan ng pag-atake

Noong Hunyo, iniulat ng crypto.news na ang limang legacy liquidity pool na pag-aari ng Raydium ay nawalan ng humigit-kumulang $1.3 milyon matapos puntiryahin ng isang umaatake ang iniretirong imprastraktura ng AMM.

Sinabi ng on-chain investigator na si Specter na ginamit ng umaatake sa Raydium ang isang pekeng mint address upang lampasan ang mga pagsusuri sa balidasyon sa isang mas lumang programa ng AMM. Kasama sa mga ninakaw na asset ang humigit-kumulang 150,177 RAY, 5,603 SOL at 893,700 USDC.

Sinabi ng Raydium na ang mga aktibong pool nito at kasalukuyang mga user ay hindi naapektuhan dahil ang mahina na imprastraktura ay na-phase out na. Nangako ang protocol na magre-reimburse ng mga apektadong asset mula sa treasury nito.

Ang isang hiwalay na insidente noong Hulyo na kinasasangkutan ng Across Protocol ay nagdulot ng pagkalugi na mas mababa sa $4 milyon matapos gumawa ang isang umaatake ng mga kaganapan sa deposito sa Solana. Lumikha ang umaatake ng 1,627 pekeng deposito na may pinagsamang nakasaad na halaga na $41.7 milyon at humiling ng mga payout sa 18 destination chain.

Pinroseso ng relayer ng Risk Labs ang 581 sa mga mapanlinlang na kahilingan bago sinuspinde ang mga operasyon ng Solana, na nagbigay ng humigit-kumulang $4.5 milyon ng sarili nitong kapital. Humigit-kumulang $500,000 na pag-aari ng umaatake ang nanatiling nakulong, na nagdulot ng netong pagkalugi sa ibaba $4 milyon.

Sinabi kalaunan ng Across na ang pag-atake sa Solana ay nagmula sa isang kapintasan sa off-chain software sa pagbasa ng kaganapan ng Risk Labs at hindi isang kahinaan sa mga smart contract nito o sa network ng Solana. Nakumpleto o naibalik ang mga lehitimong paglipat ng user.

Ang mga pagkabigo sa seguridad ng operasyon ay nagdulot ng pagkalugi sa ibang lugar nang hindi kinakailangang samantalahin ng mga umaatake ang lohika ng smart contract.

Ang access sa wallet ay naging isang pangunahing ruta ng pag-atake

Kinumpirma ng kumpanya ng stablecoin payments na Triple-A noong Hulyo na ang hindi awtorisadong access sa mga treasury wallet nito ay nagresulta sa pagnanakaw ng mga digital asset na pag-aari ng kumpanya. Orihinal na sinubaybayan ng mga on-chain researcher ang mga kahina-hinalang withdrawal sa Ethereum, Solana, TRON at TON, na may ilang ulat na nagpapakita ng aktibidad sa Polygon at Arbitrum.

Sinabi kalaunan ng Triple-A na hindi naapektuhan ang mga pondo ng kliyente dahil ang mga asset ng customer ay pinaghiwalay mula sa nakompromisong imprastraktura ng treasury. Tinantya ng mga researcher ang pagkalugi sa humigit-kumulang $11.8 milyon bago kinumpirma ng kumpanya ang paglabag.

Hindi isiniwalat ng kumpanya kung nakuha ng umaatake ang mga pribadong susi, mga credential o iba pang uri ng access. Sinabi ng Triple-A na ang mga espesyalista sa cybersecurity at pulisya ng Singapore ay nagtatrabaho sa imbestigasyon at pagsubaybay sa asset.

Ang mga pribadong susi at kompromiso sa wallet ay bumubuo ng malaking bahagi ng mga pagnanakaw ng crypto noong 2026. Iniulat ng CertiK noong Hulyo na ang mga pagkalugi sa digital asset ay umabot sa $1.32 bilyon sa unang kalahati ng taon, bumaba ng 46.8% mula sa parehong panahon noong 2025.

Sa kabila ng mas mababang kabuuang, sinabi ng security firm na ang mga kompromiso sa wallet ang naging pinakamalaking pamamaraan ng pag-atake sa ikalawang quarter, na pumalit sa phishing bilang pangunahing pinagmulan ng pagkalugi.

Ang isa pang proyekto ng Solana, ang Step Finance, ay tuluyang nagsara ng mga operasyon nito matapos puntiryahin ng isang pag-atake mas maaga sa taong ito ang mga device na ginamit ng mga miyembro ng executive team nito. Nakakuha ng access ang mga umaatake sa mga treasury at fee wallet at naglipat ng humigit-kumulang 261,854 SOL, habang ang mga huling pagtatantya ay naglagay ng kabuuang pagkalugi sa mga apektadong asset malapit sa $40 milyon.

Napagpasyahan ng mga imbestigador na ang mga smart contract ng Step Finance ay hindi ang punto ng pagpasok. Ang mga nakompromisong endpoint ay nagpahintulot sa mga umaatake na ma-access ang mga wallet na ginamit ng proyekto, at ang pinsalang pinansyal ay nag-ambag kalaunan sa desisyon na isara ang platform.

Ang katulad na pagkakaiba ay depende sa paglalathala ng Aquifer ng higit pang detalye tungkol sa sarili nitong paglabag. Hindi pa naglalabas ang protocol ng post-mortem na nagpapakilala sa paunang punto ng pag-access, ang mga tiyak na credential na kasangkot o kung ang isang nakompromisong account ay nagbigay ng kontrol sa maraming wallet.

Sa ngayon, ang proseso ng pagbawi ng Aquifer ay nakasentro sa panukala nitong whitehat. Inalok ang umaatake ng karapatang panatilihin ang hanggang 20% ng mga asset na nauugnay sa exploit kung hindi bababa sa 80% ay ibinabalik sa mga itinalagang recovery address bago mag-Setyembre 3 ng 14:00 UTC.