Ретранслятор Across Protocol, керований Risk Labs, втратив менше 4 мільйонів доларів після того, як зловмисник сфабрикував події депозиту Solana на суму 41,7 мільйона доларів, згідно зі звітом після інциденту, опублікованим кросчейн-протоколом.

Зловмисник Across підробив 1627 депозитів Solana

Атака відбулася між 05:07 та 06:14 UTC 17 липня, згідно з післяаварійним звітом Across Protocol. Зловмисник використав 1627 одноразових гаманців Solana для створення такої ж кількості фальшивих подій депозиту.

Ці депозити мали загальну номінальну вартість приблизно 41,7 мільйона доларів і вимагали платежів через 18 цільових блокчейнів. Across повідомив, що кошти були направлені на одну адресу отримувача в мережі, сумісній з Віртуальною машиною Ethereum.

Ретранслятор Risk Labs виконав 581 запит, перш ніж Across зупинив операції Solana. Ці платежі становили близько 35,7% шахрайських запитів, але лише 10,8% від їх заявленої вартості.

Ретранслятор заздалегідь надав приблизно 4,5 мільйона доларів власного капіталу. Across анулював решту 1046 запитів, запобігши додатковим виплатам на суму близько 37 мільйонів доларів.

Приблизно 500 000 доларів, що належать зловмиснику, залишилися заблокованими в протоколі. Across відняв цю суму від валової виплати, щоб зменшити чисті втрати до менш ніж 4 мільйонів доларів.

Чому користувачі Across уникли втрат ретранслятора

Across пояснив витік недоліком у офчейн-програмному забезпеченні Risk Labs для зчитування подій, а не вразливістю у своїх смарт-контрактах. Протокол також повідомив, що зловмисник не скомпрометував мережу Solana.

Across використовує ретранслятори, які заздалегідь надають власні активи для здійснення кросчейн-переказів, перш ніж вимагати відшкодування. Така структура залишила відповідальність за втрати на ретрансляторі Risk Labs, а не на користувачах, які здійснювали законні транзакції.

Усі дійсні перекази були завершені або повністю відшкодовані 17 липня, згідно з Across. Веб-сайт протоколу показує, що він обробив понад 34 мільярди доларів переказів без повідомлень про втрату коштів користувачів.

Інцидент відрізнявся від експлойту Lien Finance, про який crypto.news повідомив 24 липня. SlowMist виявив, що зловмисник Lien використав недолік валідації смарт-контрактів для карбування непідтримуваних токенів облігацій та виведення приблизно 542 144,63 USDC.

crypto.news також повідомив, що гаманець, пов’язаний з експлойтом Drift Protocol на 285 мільйонів доларів, перевів 23 095,1 ETH на суму близько 44,4 мільйона доларів через Tornado Cash 23 та 24 липня. Загалом, ці інциденти включали різні методи атаки: збій офчейн-програмного забезпечення в Across, помилкова логіка контракту в Lien та відмивання коштів після експлойту, пов'язане з Drift.

Що означає перехід на CCTP для користувачів США

Across відновив сервіс Solana приблизно за 12 годин, маршрутизуючи перекази через Протокол кросчейн-переказів Circle (CCTP). Протокол повідомив, що його інженери розгорнули виправлення першопричини приблизно через п'ять годин після атаки.

Ця зміна має прямий зв’язок зі США, оскільки Circle випускає USDC та керує CCTP. Circle заявляє, що CCTP спалює нативні USDC у вихідній мережі та карбує таку ж суму в цільовій мережі без використання традиційних пулів ліквідності мостів або сторонніх наповнювачів.

Для користувачів США, які переміщують USDC до або з Solana, запасний варіант дозволив відновити перекази, не покладаючись на скомпрометований зчитувач подій Risk Labs. Згідно з висновками протоколу, витік Across не зачепив резерви USDC або контракти Circle на карбування.

Цей перехід також відбувається після того, як Сполучені Штати встановили свою першу федеральну рамкову програму для платіжних стейблкоїнів через Закон GENIUS. Закон вимагає від дозволених емітентів підтримувати кваліфіковані резерви та публікувати регулярні розкриття інформації, згідно з інформаційним бюлетенем Білого дому. Ці правила регулюють емітентів стейблкоїнів, а не окреме програмне забезпечення ретранслятора, яке спричинило втрати Across.

Викуп ACX залишається незмінним

ACX торгувався поблизу $0,041 після післяаварійного звіту, з ринковою капіталізацією близько 29 мільйонів доларів, згідно з CoinGecko. Токен залишався більш ніж на 97% нижче свого історичного максимуму.

Across заявив, що втрата не вплине на запланований викуп токенів ACX. Однак протокол не розкрив, чи змінить Risk Labs своє фінансування ретранслятора, системи моніторингу або операційні ліміти.

Потік замовлень Solana залишається маршрутизованим через CCTP. Across не надав часових рамок для повернення до своєї попередньої системи маршрутизації або оголосив про повернення будь-яких додаткових коштів.