Гонконгский финтех-стартап Infini делает предложение «белой шляпы» хакеру на $49,5 млн

Infini сделала предложение «белой шляпы» злоумышленнику, который украл 49,5 млн долларов в результате эксплуатации около 168 дней назад. Теперь компания заявляет, что прекратит все усилия по отслеживанию и юридические действия при условии, что эксплуататор вернет 80% украденных средств. 

20% от этой суммы составили бы для хакера все еще значительные 9,9 млн долларов. Однако на момент публикации хакер не принял предложение. Предложение истекает 13 августа 2025 года в 20:00 по GMT+8, поэтому новости снова распространяются в интернете.

У хакера осталось менее 50 часов до юридических последствий

Основатель Infini Кристиан Ли получил похвалу за свое профессионализм и эмпатию с момента инцидента, успокоив сообщество тем, что команда активно расследует и отслеживает инцидент. Он также подчеркнул, что вывод средств пользователей остается unaffected, и полная компенсация будет выплачена в худшем случае.

Кристиан также позже сообщил, что компьютер подозреваемого хакера был обнаружен, и информация передана в полицию.

В сообщении в блокчейне Infini уведомил хакера, что они «тщательно отслеживают задействованный адрес и готовы предпринять немедленные действия по заморозке похищенных средств, если это необходимо».

«В стремлении разрешить этот вопрос мирным путем, мы готовы предложить вам 20% от украденных активов, если вы решите вернуть средства», — призвала она.

В феврале Infini дал преступнику 48 часов на «содействие быстрому урегулированию», пообещав, что в случае отсутствия ответа компания продолжит расследование в сотрудничестве с правоохранительными органами.

Предложение было проигнорировано, и 4 марта 2025 года было отправлено второе сообщение, в котором снова предлагалась «белая шляпа», признавались навыки, необходимые для осуществления эксплойта, и призывалось вернуть средства.

Infini выдал свой последний и, предположительно, окончательный ультиматум 11 августа 2025 года, дав хакеру срок до 13 августа 2025 года, 20:00 по времени GMT+8, для возврата всей суммы в размере 49,5 млн долларов.

Если хакер согласится, Infini говорит, что они могут сохранить любую прибыль в качестве вознаграждения «белой шляпы» и получить письменное заверение в отсутствии дальнейших юридических действий. Однако несоблюдение условий повлечет за собой юридические последствия, так как компания уже подала в суд в Гонконге против разработчика Чена Шансюаня и трех неустановленных лиц, связанных с эксплуатацией.

Как произошел первоначальный эксплойт

По сообщениям, эксплойт произошел 24 февраля, что обошлось Infini в 49 млн долларов в USDC. Сообщается, что злоумышленники злоупотребили административными привилегиями, которые они тайно сохранили.

Атакующий, действовавший с адреса 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, изначально разработал контракт в рамках проекта Infini.

Однако, после доставки, они тайно сохранили права и примерно через сто дней профинансировали свой адрес через Tornado Cash, отправили небольшую транзакцию ETH для газа и эксплуатировали контракт — выкачав 49,5 миллиона долларов двумя партиями: 11 455 666 USDC и 38 060 996 USDC.

Эксплуатация последовала за взломом Bybit, в результате которого вторая по объему торгов криптобиржа потеряла свой холодный кошелек Ether хакеру, который унес почти 1,5 миллиарда долларов в том, что было помечено как крупнейшая эксплуатация в крипто.

Основатель необанка Кристиан Ли пообещал покрыть полный убыток из личных средств и взял на себя ответственность за инцидент.

Теперь, когда срок почти истек, многие наблюдатели следят за ситуацией, ожидая, примет ли хакер предложение или останется непреклонным до самого конца.