Ставки swETH Swell выросли через несколько часов после утечки ключей Railway

Исследователь безопасности Spreek сообщил 22 октября, что лицо, обладающее операционными горячими ключами DAO Swell, повысило курсы своих жидких стейкинговых токенов swETH и rswETH на максимальные 1% в час без обеспечения новыми ETH.

Эти сообщения появились спустя несколько часов после того, как облачная платформа Railway сообщила о возможном доступе злоумышленника к сохраненным секретам клиентов.

Odysseus насчитал пять повышений примерно на 1% для обоих токенов

Spreek опубликовал выводы в X в 01:28 UTC, заявив, что административные ключи обоих токенов «по-видимому, скомпрометированы (возможно, из-за Railway)». Атакующие «повышали NAV максимум на 1% (не обеспеченными активами) каждый час», — указывалось в посте.

Основатель Phylax Systems Odysseus назвал это «злоупотреблением BOT-ключами», отметив три повышения курса swETH и два повышения rswETH примерно на 1% каждое. Опубликованный код оракула Swell ограничивает отправку снимков переоценки только ролью BOT.

Этот бот работает с использованием горячих ключей. Горячие ключи находятся в онлайн-режиме и подписывают транзакции без участия человека.

Записи в блокчейне Ethereum показывают, что один адрес отправлял снимки состояния swETH в 23:02 UTC 21 октября, а затем снова в 00:04 и 01:08 UTC 22 октября. По состоянию на 22 октября сообщалось, что курс swETH составлял около 3,0% выше отметки 1,133254 ETH.

rswETH вырос примерно на 2.0% по отношению к 1.082464 ETH.

Railway сообщил 21 октября, что обнаружил аномальную активность в системах, хранящих переменные окружения клиентов, и что посторонний мог получить доступ к расшифрованному содержимому некоторых из них. Среди секретов, хранящихся там, — API-ключи и учётные данные реестров.

Платформа заморозила все развертывания и призвала всех пользователей перенести сохраненные секреты.

В тот же день крипто-расследователь Tay заявил, что злоумышленник вывел около $371 000 из кошельков как минимум на 19 EVM-сетях, где ключи были сохранены на Railway. Подтверждения связи между взломом Railway и Swell пока нет.

Четыре вредоносных контракта обновления могли бы привести к потере около 2,500 ETH

Команда Swell объявила в X в 03:03 UTC 22 октября, что осведомлена о сообщениях о «подозрительной активности в контрактах swETH и rswETH» и ведет расследование совместно с партнерами по безопасности. «Из контрактов вывода или депозита swETH или rswETH не было выведено ни одного ETH», — написала команда, добавив, что никаких действий от пользователей не требуется.

Swell приостановил депозиты и выводы для swETH и rswETH 23 октября и заявил, что возобновит их после того, как NAV вернется к корректному значению.

Spreek также сообщил о четырех развернутых вредоносных контрактах обновления, которые могли бы привести к потере около 2500 ETH при их активации. Odysseus подсчитал, что у Swell хранится 2513 ETH, добавив, что эта сумма «НЕ является подтвержденными убытками».

На момент публикации отчетов ни одно из обновлений еще не было выполнено.

По сообщениям, некоторые детали исследования были подготовлены с помощью ИИ и не прошли проверку.

По сообщениям, в цены на DEX заложена лишь часть более высоких ставок. Продукты ликвидного стейкинга и ликвидного рестейкинга Swell 23 октября удерживали около 29 млн долларов США в общем заблокированном объеме (TVL), тогда как данные источников указывают на рыночную капитализацию rswETH в диапазоне от 27 до 58 млн долларов.

На рынке кредитования, где swETH или rswETH оцениваются по ончейн-курсу, этот завышенный показатель мог бы учитываться как залог. Cryptopolitan отследил тот же путь заражения: эксплойт KelpDAO с rsETH распространился на рынки кредитования Layer 2.

Утечка ключей также стала причиной инцидента с расширением Fearless Wallet, которое передало приватные ключи пользователей Polkadot на сервер злоумышленника.