Розробники мережі Taiko закликали користувачів вивести кошти з усіх мостів, розгорнутих на її блокчейні Ethereum другого рівня, після підтвердження компрометації механізму верифікації стану ланцюга.

У повідомленні про безпеку, опублікованому в неділю, проект заявив, що на припущення безпеки, які лежать в основі всіх мостів на Taiko, більше не можна покладатися. Команда повідомила, що координує дії зі своєю Радою Безпеки та екосистемними партнерами для локалізації інциденту, призупинення роботи постраждалих систем, де це можливо, та вжиття технічних і юридичних заходів.

"Ми настійно радимо всім користувачам негайно вивести свої кошти з усіх мостів, розгорнутих на Taiko", – написала команда на X.

Taiko — це мережа Ethereum рівня 2, яка використовує нульові докази (zero-knowledge rollups) для більш ефективної обробки транзакцій, залишаючись сумісною з Ethereum. Мережа, співзасновником якої є колишній генеральний директор Loopring Даніель Ванг, запустила свій мейннет у травні 2024 року як виділене сховище даних для масштабаторів Ethereum.

Taiko не розголосила причину збою та не надала оцінки збитків; однак, за даними блокчейн-безпекової компанії BlockSec Phalcon, атака призвела до втрат, що перевищують 1,7 мільйона доларів. У попередньому аналізі фірма заявила, що ймовірною причиною був викритий ключ підпису анклаву Raiko SGX, який був публічно доступний на GitHub.

"Оскільки ключ підпису анклаву був публічно доступним, модель довіри SGX-провайдера могла бути порушена", – написала BlockSec Phalcon на X. "Викритий ключ міг дозволити зловмиснику реєструвати контрольовані ним SGX-екземпляри через SgxVerifier.registerInstance."

За даними BlockSec, зловмисники могли використовувати скомпрометовані екземпляри верифікатора для генерації шахрайських доказів, які були прийняті верифікаційними контрактами Taiko. Потім зловмисник використав підроблений сигнал для реєстрації фальшивого повідомлення моста та ініціював вивільнення активів на базі Ethereum зі сховища ERC20Vault протоколу.

Злам Taiko стався після низки великих крипто-експлойтів. У квітні зловмисники викрали 292 мільйони доларів з кросчейн-мосту KelpDAO в атаці, яка пізніше була пов'язана з північнокорейською групою Lazarus. У травні Echo Protocol повідомив про злам, пов'язаний із несанкціонованим карбуванням eBTC на суму 77 мільйонів доларів на Monad, хоча проект оцінив реалізовані збитки приблизно в 816 000 доларів. Раніше цього місяця біржа Raydium на базі Solana втратила 1,34 мільйона доларів після того, як зловмисники використали застарілі пули ліквідності.

Загалом, за перші п'ять місяців року DeFi-протоколи втратили понад 840 мільйонів доларів.