Кросс-чейн мост Ankr для Ethereum подвергся эксплойту, включающему пять несанкционированных выводов средств, в результате которых 9 ноября было выведено более 303 000 долларов в криптоактивах, что вызвало вопросы о процессе проверки транзакций моста.
Краткое содержание
- Мост Ankr для Ethereum потерял более 303 000 долларов после того, как в понедельник злоумышленник осуществил пять несанкционированных выводов средств.
- Сообщается, что злоумышленник повторно использовал депозит в Optimism, чтобы вывести пять различных токенов из моста Ethereum.
- Blockaid отметила, что эксплойт продолжается, при этом публичный флаг паузы моста изначально оставался в значении false.
- Ankr не ответила на вопросы о затронутых сервисах, безопасности моста или возможных компенсациях пользователям.
Компания по блокчейн-безопасности Blockaid выявила атаку в понедельник, сообщив, что злоумышленник использовал небольшой депозит в Optimism, чтобы вывести активы, заблокированные в мосту Ankr для Ethereum. Первоначальная оценка компании определила потери примерно в 292 000 долларов по пяти транзакциям, хотя последующий анализ выведенных токенов показал их совокупную стоимость выше 303 000 долларов.
Компания описала инцидент как «продолжающийся эксплойт», предупредив, что злоумышленник перевёл активы моста на новый кошелёк. Аккаунт ончейн-мониторинга Onchain Lens отдельно отметил эти выводы средств, сообщив о схожей первоначальной оценке потерь.
Эксплойт моста Ankr вывел пять различных токенов
Атака произошла между 3:09 и 3:12 утра по восточному времени, при этом пять успешных выводов средств отправили различные токены на один и тот же кошелёк назначения. Транзакции включали активы ликвидного стейкинга Ankr наряду с её нативным токеном ANKR.
Записи транзакций показали, что злоумышленник вывел примерно 82,91 ankrETH стоимостью 216 370 долларов, что составило крупнейший компонент заявленных потерь. Ещё один вывод удалил 515 206 токенов ankrPOL стоимостью 56 372 доллара, а примерно 7,98 млн токенов ANKR составили 30 857 долларов.
Два других актива, 5 372,25 aMATICb и 0,8196 aETHb, были переведены во время атаки. Их стоимость не была включена в оценку в 303 600 долларов, поскольку Etherscan не отображал цены ни для одного из этих токенов на момент оценки.
Таким образом, общая сумма представляет собой оценочную стоимость трёх активов с установленной ценой, а не сумму, которую злоумышленник обязательно конвертировал в другие криптовалюты или наличные. Тем не менее пять выводов средств удалили указанные токен-холдинги моста из затронутого контракта Ethereum.
В 3:49 утра по восточному времени история транзакций моста не показывала дальнейшей активности после подозрительных выводов средств. Его публичный флаг паузы по-прежнему отображался как false, оставляя неясным, приняла ли Ankr дополнительные меры для остановки дальнейших несанкционированных транзакций.
Как работала атака на мост Ankr для Ethereum
Заявленный эксплойт был сосредоточен на депозите, первоначально сделанном через Optimism 3 ноября. Согласно анализу транзакций, депозит составлял всего 0,0044024803 ankrETH и уже был погашен в Ethereum в тот же день.
Однако, согласно сообщениям, злоумышленник сослался на тот же депозит при подаче пяти новых запросов на вывод средств 9 ноября. Каждый запрос содержал измененную информацию о квитанции, указывающую на другого получателя, более крупные суммы вывода и другие токены, отличные от исходного перевода.
Кросс-чейн мост Ankr обычно позволяет пользователям перемещать поддерживаемые активы ликвидного стейкинга между блокчейн-сетями. Пользователь вносит токены в исходной сети перед подачей транзакции на верификацию через бэкенд Ankr, который предоставляет авторизацию, необходимую для высвобождения активов в принимающей сети.
В рамках такой схемы завершенный депозит не должен авторизовывать повторные выводы для других активов или сумм. Тем не менее, согласно сообщениям, транзакции прошли проверки авторизации моста, что позволило злоумышленнику вывести токены из контракта Ethereum.
Развернутая реализация моста требует одобрения от назначенного подписанта перед обработкой выводов. Хотя пять транзакций были приняты, имеющиеся записи не устанавливают, как злоумышленник получил действительную авторизацию или была ли уязвимость связана с процессом подписания, проверкой квитанций или другим компонентом.
Ankr пока не ответила на вопросы о затронутых пользователях
Инцидент оставил вопросы о масштабах нарушения, в частности о том, используют ли затронутые контракты общую инфраструктуру с другими продуктами Ankr. Компания управляет сервисами ликвидного стейкинга и продуктами блокчейн-инфраструктуры, включая услуги удаленного вызова процедур (RPC), используемые приложениями для связи с блокчейн-сетями.
На момент публикации не было подтверждения того, что эксплойт скомпрометировал RPC-инфраструктуру Ankr или личные кошельки пользователей. Сообщаемые выводы касались активов, хранящихся в затронутом контракте моста Ethereum, хотя компания публично не установила полный масштаб инцидента.
crypto.news обратилась к Ankr за комментариями, но компания не ответила к моменту публикации.
Ранее Ankr столкнулась с отдельным инцидентом безопасности, связанным с ее инфраструктурой ликвидного стейкинга. В августе уязвимость в ее контракте ankrFLOW позволила злоумышленнику создать миллионы необеспеченных токенов, что привело к потерям примерно в 410 000 долларов для MORE Markets, как сообщал crypto.news.
Другие операторы мостов в этом году столкнулись с проблемами авторизации транзакций. В октябре Cysic приостановила свой мост после того, как, согласно сообщениям, злоумышленник использовал weaknesses обработки для создания 10 миллионов несанкционированных токенов CYS в BNB Smart Chain.
В августе оператор моста XRPL сообщил о потере 198 715,88 XRP после того, как злоумышленники использовали ошибочную логику обнаружения депозитов. Оператор остановил затронутый мост и подал жалобу в ФБР, расследуя несанкционированные выводы.
