O relayer operado pela Risk Labs do Across Protocol perdeu menos de US$ 4 milhões depois que um atacante fabricou US$ 41,7 milhões em eventos de depósito na Solana, de acordo com um relatório pós-incidente divulgado pelo protocolo cross-chain.
O ataque ocorreu entre 05:07 e 06:14 UTC de 17 de julho, de acordo com a análise pós-morte do Across Protocol. O atacante usou 1.627 carteiras Solana de uso único para criar o mesmo número de eventos de depósito falsos.
Esses depósitos tinham um valor nominal combinado de aproximadamente US$ 41,7 milhões e solicitavam pagamentos em 18 cadeias de destino. Across relatou que os fundos foram direcionados para um único endereço de recebimento em uma rede compatível com a Máquina Virtual Ethereum.
O relayer da Risk Labs atendeu 581 solicitações antes que o Across interrompesse as operações de Solana. Esses pagamentos representaram cerca de 35,7% das solicitações fraudulentas, mas apenas 10,8% do seu valor declarado.
O relayer adiantou aproximadamente US$ 4,5 milhões de seu próprio capital. Across invalidou as 1.046 solicitações restantes, impedindo cerca de US$ 37 milhões em pagamentos adicionais.
Aproximadamente US$ 500.000 pertencentes ao atacante permaneceram presos dentro do protocolo. Across deduziu esse valor do pagamento bruto para situar sua perda líquida abaixo de US$ 4 milhões.
Across atribuiu a violação a uma falha no software de leitura de eventos off-chain da Risk Labs, em vez de uma vulnerabilidade em seus contratos inteligentes. O protocolo também relatou que o atacante não comprometeu a rede Solana.
Across utiliza relayers que adiantam seus próprios ativos para completar transferências cross-chain antes de reivindicar o reembolso. Essa estrutura deixou o relayer da Risk Labs responsável pela perda, em vez dos usuários que haviam enviado transações legítimas.
Todas as transferências válidas foram concluídas ou totalmente reembolsadas em 17 de julho, de acordo com o Across. O site do protocolo mostra que ele processou mais de US$ 34 bilhões em transferências sem relatar perda de fundos de usuários.
O incidente difere do exploit da Lien Finance relatado por crypto.news em 24 de julho. A SlowMist descobriu que o atacante da Lien explorou uma falha de validação de contrato inteligente para cunhar tokens de dívida não suportados e sacar aproximadamente 542.144,63 USDC.
crypto.news também relatou que uma carteira ligada ao exploit de US$ 285 milhões do Drift Protocol moveu 23.095,1 ETH, avaliados em cerca de US$ 44,4 milhões, através do Tornado Cash em 23 e 24 de julho. Juntos, os incidentes envolveram métodos de ataque separados: falha de software off-chain no Across, lógica de contrato falha no Lien, e lavagem pós-exploit ligada ao Drift.
Across restaurou o serviço de Solana em aproximadamente 12 horas, roteando transferências através do Cross-Chain Transfer Protocol da Circle. O protocolo relatou que seus engenheiros implementaram a correção da causa raiz cerca de cinco horas após o ataque.
A mudança tem uma conexão direta com os EUA porque a Circle emite USDC e opera o CCTP. A Circle afirma que o CCTP queima USDC nativo na rede de origem e cunha a mesma quantia na rede de destino sem usar pools de liquidez de pontes tradicionais ou preenchedores de terceiros.
Para usuários dos EUA que movimentam USDC para ou de Solana, o fallback permitiu que as transferências fossem retomadas sem depender do leitor de eventos da Risk Labs afetado. A violação do Across não envolveu as reservas de USDC ou os contratos de cunhagem da Circle, de acordo com as descobertas do protocolo.
A mudança também ocorre depois que os Estados Unidos estabeleceram sua primeira estrutura federal para stablecoins de pagamento através do GENIUS Act. A lei exige que os emissores permitidos mantenham reservas qualificadas e publiquem divulgações regulares, de acordo com uma ficha informativa da Casa Branca. Essas regras regem os emissores de stablecoins, e não o software de relayer separado que causou a perda do Across.
ACX foi negociado perto de US$ 0,041 após a análise pós-morte, com uma capitalização de mercado de cerca de US$ 29 milhões, de acordo com a CoinGecko. O token permaneceu mais de 97% abaixo de seu preço máximo histórico.
Across declarou que a perda não afetaria sua recompra planejada de tokens ACX. No entanto, o protocolo não divulgou se a Risk Labs alteraria seu financiamento de relayer, sistemas de monitoramento ou limites operacionais.
O fluxo de pedidos de Solana permanece roteado através do CCTP. Across não forneceu um cronograma para retornar ao seu sistema de roteamento anterior ou anunciou a recuperação de quaisquer fundos adicionais.
ACX
USDC
