Крипто-протокол CrossCurve пострадал от взлома на сумму $3M

Крипто-протокол CrossCurve сообщил, что его кросс-чейн мост был скомпрометирован, что привело к потере около 3 миллионов долларов в различных блокчейн-сетях. 

Атака вызвала новые опасения по поводу безопасности кросс-чейн инфраструктуры, на которую хакеры неоднократно нападали в крипто-индустрии. CrossCurve раскрыл атаку поздно вечером в воскресенье в публикации в X, заявив, что его мост «под атакой» и что уязвимость в его смарт-контрактах была использована. 

Протокол предупредил пользователей немедленно приостановить все взаимодействия с CrossCurve, пока команда разбирается в произошедшем. Эксплойт затронул несколько сетей и продемонстрировал, как уязвимости могут влиять на кросс-чейн системы. Подробности об эксплойте предоставил аккаунт Defimon Alerts в X, принадлежащий фирме по безопасности блокчейна Decurity. Атакующий скомпрометировал один из смарт-контрактов CrossCurve и похитил около 3 миллионов долларов, согласно сообщению Defimon Alerts. 

В отчете также говорилось, что контракт CrossCurve не проверял кросс-чейн сообщения должным образом. Это позволяло любой стороне подделывать, или фальсифицировать, подлинно выглядящее сообщение. Таким образом, злоумышленник смог обойти традиционный механизм проверки и разблокировать токены без авторизации. Более конкретно, Defimon Alerts упомянул, что любой может вызвать функцию expressExecute в контракте ReceiverAxelar. 

Эта функция использовала фальшивое кросс-чейн сообщение и обошла проверки шлюза, вызвав ее и разблокировав токены в контракте PortalV2. Она доверяла этому сообщению, и средства были выпущены, даже если транзакция на исходной цепи не была совершена. CrossCurve не оспаривал ни одну из этих операций и также расследует затронутые контракты. 

Протокол еще не подтвердил, получат ли все пользователи компенсацию за свои потери. В поств X, Curve посоветовал пользователям, чьи голоса были переданы пулам CrossCurve, пересмотреть свои позиции и рассмотреть возможность отзыва своих голосов. Она также рекомендует всем инвесторам быть начеку и принимать решения, основанные на оценке рисков, при взаимодействии с проектами третьих лиц.

CrossCurve предлагает 10% вознаграждение за возврат похищенных токенов

В попытке вернуть похищенные средства, генеральный директор CrossCurve Борис Повар публично связался с адресами, подозреваемыми в получении токенов через эксплойт. Повар опубликовал 10 блокчейн-адресов, связанных с украденными активами, и попросил вернуть средства, сказал он. 

Токены были «незаконно изъяты у пользователей из-за эксплойта смарт-контракта», сказал Повар в своем посте. По его словам, не было четких доказательств того, что атака была намеренной или злонамеренной. Повар призвал к сотрудничеству для возврата средств и предложил вознаграждение в размере до 10%, если токены будут возвращены в течение 72 часов. 

Повар добавил, что если контакт не будет установлен или средства не будут возвращены в течение этого времени, CrossCurve рассмотрит инцидент как уголовное дело. Протокол готов координировать действия с правоохранительными органами, подавать гражданские иски о возмещении ущерба и сотрудничать с другими крипто-проектами и властями для замораживания активов, связанных с эксплойтом, сказал он. 

Такие предложения о вознаграждении, также известные как награды «белых шляп», стали обычным явлением в криптоиндустрии. В некоторых случаях злоумышленники возвращали средства в обмен на вознаграждение, в других средства остались безвозвратно.

Кросс-чейн эксплойты продолжают мучить крипто-сектор

Инцидент с CrossCurve — это последний в длинной серии атак, направленных на кросс-чейн мосты и протоколы децентрализованных финансов. За последние несколько лет: 

Значительная часть этого была вызвана сбоями в проверке сообщений, как и в случае с CrossCurve. Кросс-чейн мосты, как давно предупреждали аналитики безопасности, являются одними из самых серьезных рисков в крипто. Даже крошечные ошибки в логике проверки могут привести к тому, что токены будут отчеканены или разблокированы и использованы без обеспечения, что приведет к огромным потерям за короткий период времени. 

Растущее число проблем заставило регуляторов, инвесторов и разработчиков призвать к более строгим практикам безопасности, включая более тщательный аудит, более простые дизайны, четкие следы аудита и инструменты мониторинга. Но, как показывает опыт CrossCurve, уязвимости все еще возникают, и пользователям напоминают, что они остаются в значительной опасности при взаимодействии с децентрализованными протоколами.