Експлойт, який призвів до карбування 1 мільярда обгорнутих токенів Polkadot (DOT) раніше цього тижня, виявився ще гіршим, ніж повідомлялося спочатку, за словами команди Hyperbridge. 

Те, що спочатку вважалося втратами токенів на суму $237 000, пов'язаними з мостом Polkadot-Ethereum, насправді ближче до $2.5 мільйона — це більш ніж 10-кратне збільшення порівняно з початковим звітом. 

«Зловмисник скористався вразливістю в логіці верифікації доказів Merkle Mountain Range (MMR), дозволивши винуватцю карбувати активи та виводити депоновані активи на Token Gateway», – повідомила команда в четверговому постмортемі. 

«Наша початкова публічна оцінка реалізованих втрат становила приблизно $237 000, ґрунтуючись на негайно спостережуваному розпродажі з'єднаних DOT на Ethereum», — додали вони. «Ця цифра не відображала повної картини, як ми дізналися пізніше».

Окрім $237 000 спостережуваних втрат, за години до злочинного карбування токенів DOT було експлуатовано смарт-контракт на 245 ETH або близько $561 000. Крім того, постраждали три пов'язані блокчейни — Base, Arbitrum та BNB Chain, що суперечить початковому звіту команди про те, що постраждали лише обгорнуті DOT на Ethereum. 

«Після узгодження активності зловмисника по кожному з чотирьох ланцюгів, двофазної природи атаки та втрат з пов'язаних стимулюючих пулів, переглянута загальна реалізована втрата становить приблизно $2.5 мільйона, деномінованих в ETH та DOT на момент експлойту», — написала команда.

Викрадені кошти були відстежені до депозитної адреси на Binance, і фірма залучила команду з комплаєнсу централізованої біржі та відповідні правоохоронні органи у спробі заморозити та повернути викрадені активи — але не очікує швидкого вирішення. 

«Ми використовуємо всі доступні канали, але реалістичний термін для значного відновлення в таких випадках вимірюється місяцями і може тривати до року», — додали вони. 

Хоча її метою є відшкодування збитків усім постраждалим користувачам, повертаючи скомпрометовані кошти, протокол зазначив, що він «зобов'язаний виділити структурований розподіл токенів BRIDGE для покриття залишкових втрат», якщо він не зможе це зробити. 

Але BRIDGE, його нативний протокольний токен, підтримує надзвичайно низькі обсяги, останній раз торгуючись на $1 800 протягом 24 годин, коли він переходив з рук в руки приблизно за $0.006 29 березня, згідно з даними CoinGecko. За такої ціни ринкова капіталізація токена становила близько $858 000, що приблизно одна третина від загальних втрат від експлойту. 

Функціональність мостів на чотирьох постраждалих блокчейнах залишається призупиненою і відновиться лише після розгортання та аудиту патча. 

«Це не змінює нашого переконання, що крос-чейн сумісність є безпечною лише за допомогою криптографічних доказів», — написала команда протоколу. 

«Цей експлойт чітко, хоч і дорого, показав, що логіка верифікації потребує частіших аудитів та тестування на стійкість до атак на кожному рівні стеку», — додали вони. «Саме за таким стандартом Token Gateway працюватиме надалі».