Relayerul operat de Risk Labs al Across Protocol a pierdut mai puțin de 4 milioane de dolari după ce un atacator a fabricat evenimente de depunere Solana în valoare de 41,7 milioane de dolari, conform unui raport post-incident publicat de protocolul cross-chain.

Atacatorul Across a falsificat 1.627 de depuneri Solana

Atacul a avut loc între 05:07 și 06:14 UTC pe 17 iulie, conform raportului post-mortem al Across Protocol. Atacatorul a folosit 1.627 de portofele Solana de unică folosință pentru a crea același număr de evenimente de depunere false.

Aceste depuneri aveau o valoare nominală combinată de aproximativ 41,7 milioane de dolari și solicitau plăți către 18 blockchain-uri destinație. Across a raportat că fondurile au fost direcționate către o singură adresă de destinatar pe o rețea compatibilă cu Mașina Virtuală Ethereum.

Relayerul Risk Labs a onorat 581 de solicitări înainte ca Across să oprească operațiunile Solana. Aceste plăți au reprezentat aproximativ 35,7% din solicitările frauduloase, dar doar 10,8% din valoarea declarată a acestora.

Relayerul a avansat aproximativ 4,5 milioane de dolari din capitalul propriu. Across a invalidat restul de 1.046 de solicitări, prevenind plăți suplimentare de aproximativ 37 de milioane de dolari.

Aproximativ 500.000 de dolari aparținând atacatorului au rămas blocați în cadrul protocolului. Across a dedus această sumă din plata brută pentru a-și plasa pierderea netă sub 4 milioane de dolari.

De ce utilizatorii Across au evitat pierderea relayerului

Across a atribuit breșa unei erori în software-ul de citire a evenimentelor off-chain al Risk Labs, mai degrabă decât unei vulnerabilități în contractele sale inteligente. Protocolul a raportat, de asemenea, că atacatorul nu a compromis rețeaua Solana.

Across utilizează relayere care își avansează propriile active pentru a finaliza transferurile cross-chain înainte de a solicita rambursarea. Această structură a lăsat relayerul Risk Labs responsabil pentru pierdere, în loc de utilizatorii care au inițiat tranzacții legitime.

Toate transferurile valide au fost finalizate sau rambursate integral pe 17 iulie, conform Across. Site-ul web al protocolului arată că a procesat peste 34 de miliarde de dolari în transferuri fără a raporta o pierdere de fonduri ale utilizatorilor.

Incidentul a diferit de exploatarea Lien Finance raportată de crypto.news pe 24 iulie. SlowMist a descoperit că atacatorul Lien a exploatat o eroare de validare a contractului inteligent pentru a mintui jetoane de obligațiuni neacceptate și a retrage aproximativ 542.144,63 USDC.

crypto.news a mai raportat că un portofel legat de exploatarea Drift Protocol în valoare de 285 de milioane de dolari a mutat 23.095,1 ETH, în valoare de aproximativ 44,4 milioane de dolari, prin Tornado Cash pe 23 și 24 iulie. Împreună, incidentele au implicat metode de atac separate: eșecul software-ului off-chain la Across, logica defectuoasă a contractului la Lien și spălarea post-exploatare legată de Drift.

Ce înseamnă trecerea la CCTP pentru utilizatorii din SUA

Across a restabilit serviciul Solana în aproximativ 12 ore, rutând transferurile prin Protocolul de Transfer Cross-Chain (CCTP) al Circle. Protocolul a raportat că inginerii săi au implementat soluția la cauza rădăcină la aproximativ cinci ore după atac.

Schimbarea are o conexiune directă cu SUA, deoarece Circle emite USDC și operează CCTP. Circle afirmă că CCTP arde USDC nativ pe rețeaua sursă și mintuește aceeași sumă pe rețeaua destinație fără a utiliza pool-uri de lichiditate tradiționale sau intermediari terți.

Pentru utilizatorii din SUA care mută USDC către sau din Solana, soluția de rezervă a permis reluarea transferurilor fără a se baza pe cititorul de evenimente afectat al Risk Labs. Breșa Across nu a implicat rezervele USDC sau contractele de mintuire ale Circle, conform constatărilor protocolului.

Trecerea vine, de asemenea, după ce Statele Unite au stabilit primul său cadru federal pentru stablecoin-uri de plată prin Legea GENIUS. Legea impune emitenților autorizați să mențină rezerve calificate și să publice dezvăluiri regulate, conform unei fișe informative a Casei Albe. Aceste reguli guvernează emitenții de stablecoin-uri, mai degrabă decât software-ul separat al relayerului care a cauzat pierderea Across.

Răscumpărarea ACX rămâne neschimbată

ACX s-a tranzacționat în jurul valorii de 0,041 dolari după raportul post-mortem, cu o capitalizare de piață de aproximativ 29 de milioane de dolari, conform CoinGecko. Tokenul a rămas la peste 97% sub maximul său istoric.

Across a declarat că pierderea nu va afecta răscumpărarea planificată de jetoane ACX. Cu toate acestea, protocolul nu a dezvăluit dacă Risk Labs își va modifica finanțarea relayerului, sistemele de monitorizare sau limitele operaționale.

Fluxul de ordine Solana rămâne rutat prin CCTP. Across nu a furnizat un termen pentru revenirea la sistemul său de rutare anterior și nici nu a anunțat recuperarea unor fonduri suplimentare.