За 2 дни два DeFi моста отчетоха пробиви за над $88 млн.
Два отделни инцидента при Echo Protocol и Verus-Ethereum bridge показаха колко уязвима остава инфраструктурата за прехвърляне на активи между блокчейн мрежи
Два пробива в инфраструктурата на децентрализираните финанси (DeFi) за по-малко от 48 часа отново поставиха под натиск сигурността на блокчейн мостовете и механизмите за прехвърляне на криптовалути между различни мрежи.
Echo Protocol и Verus-Ethereum bridge отчетоха комбинирани загуби за над $88 млн. И при двата случая проблемът не е в базовите блокчейн мрежи, а в инфраструктурата около мостовете, проверката на съобщения и административния контрол.
Echo Protocol спря Monad моста след неоторизирано създаване на eBTC
Биткойн DeFi протоколът Echo Protocol спря операциите между блокчейни на своята инфраструктура върху Monad, след като атакуващ успя да създаде около 1,000 неоторизирани eBTC токена с номинална стойност приблизително $76.7 млн.
Според Echo проблемът идва от компрометиран административен ключ, използван за управление на функциите за създаване на нови токени. Няма данни за пробив в самата Monad мрежа или за компрометиране на умните договори (smart contracts) на Curvance.
Атакуващият e използвал част от създадените eBTC като обезпечение в Curvance, след което изтегля реална ликвидност под формата на Wrapped Bitcoin (WBTC).
По данни на PeckShield и Lookonchain атаката преминава през няколко етапа:
- създаване на 1,000 фалшиви eBTC;
- депозиране на 45 eBTC като обезпечение в Curvance;
- заемане на около 11.3 WBTC;
- прехвърляне на средствата към Етериум;
- размяна на WBTC за ETH;
- изпращане на приблизително 384 ETH към Tornado Cash.
Първоначално анализаторите изчислиха експозицията на около $76.7 млн., но Echo Protocol уточни, че реално засегнатите средства са приблизително $816,000. Причината е, че по-голямата част от неоторизираните eBTC не са били превърнати в ликвидни активи.
Екипът на Echo заяви пред Decrypt:
„Според текущите ни данни приблизително $816,000 са засегнати върху Monad. Самата Monad мрежа не е засегната и продължава да работи нормално.“
Протоколът допълни, че е възстановил контрола върху административните ключове и е изгорил (унищожил) останалите 955 eBTC, които са се намирали в портфейла на атакуващия.
Важен детайл е, че Echo уточнява разграничението между aBTC върху Aptos и eBTC върху Monad. Двата актива са отделни и не могат да се прехвърлят директно един към друг. Това ограничава риска от разпространение на проблема към Aptos.
Aptos bridge инфраструктурата е спряна превантивно, но според Echo няма потвърдена загуба на средства там. Текущата експозиция върху Aptos е около $71,000 в Echo lending пазари и Hyperion ликвидни пулове.
Curvance също заяви, че неговите умни договори не са компрометирани. Протоколът спря засегнатия Echo eBTC пазар за преглед, като подчерта, че изолираният модел на пазарите е помогнал проблемът да не се разпространи към други пулове.
Verus-Ethereum bridge изгуби над $11 млн. при фалшиво кросчейн съобщение
Ден по-рано Verus-Ethereum bridge отчете отделен пробив за над $11 млн., при който атакуващ използва фалшиво съобщение за трансфер между блокчейни, за да освободи резервни активи от моста.
Според Blockaid, ExVul, GoPlus Security и PeckShield атаката е свързана с липсваща проверка в процеса по потвърждаване на съобщенията в моста.
Откраднатите активи включват:
- 103.6 tBTC;
- 1,625 ETH;
- приблизително 147,000 USDC.
След атаката средствата са превърнати в около 5,402 ETH на стойност над $11 млн.
GoPlus Security посочва, че атакуващият първо е изпратил нискостойностна транзакция към bridge договора. След това е извикал функция, която е довела до групов трансфер на резервни активи към контролирания от него портфейл.
Според Blockaid инцидентът наподобява предишни атаки срещу мостове като Nomad и Wormhole, при които протоколите са били подведени да обработят фалшиви инструкции като легитимни трансфери.
Компанията уточнява, че проблемът не е свързан с компрометиране на ключове или заобикаляне на ECDSA подписите, а с липсваща проверка на първоначалната сума във функцията checkCCEValues.
ExVul допълва, че атакуващият е подал фалшив пакет от данни за внос между блокчейни, който е преминал процеса на проверка и е отключил трансфери от резервите на моста.
Към момента от Verus Protocol все още няма официално публично изявление относно инцидента.
DeFi мостовете остават слабото звено между централизирания контрол и непълната валидация
Двата инцидента показват различни технически слабости, но една и съща структурна зависимост — DeFi мостовете концентрират значителен риск около административни права, съобщения между блокчейни и централизирани контролни механизми.
При Echo Protocol проблемът идва от компрометиран административен ключ и прекомерни права за създаване на токени. При Verus става въпрос за недостатъчна проверка на данните, които мостът приема като валидни.
И в двата случая атаките не компрометират самите блокчейн мрежи, а слоевете над тях — мостовата инфраструктура, оперативния контрол и механизмите за прехвърляне на ликвидност между вериги.
Това остава една от фундаменталните разлики между Биткойн и голяма част от съвременната DeFi екосистема. Биткойн не разчита на модели за създаване на синтетични активи през мостове, административни ключове или представителни токени между вериги, които могат да отключат нови точки на централизиран риск.
С разрастването на мултиверижната инфраструктура натискът върху сигурността на мостовете вероятно ще продължи да расте, особено при протоколи, които комбинират външен контрол, пазари за заемане и ликвидност между различни мрежи в една система.
Източници:
1. Decrypt – „Bitcoin DeFi Platform Echo Protocol Hit By $76M Monad Exploit“
2. PeckShield – данни за Echo Protocol и Verus-Ethereum bridge
3. Blockaid – технически анализ на Verus-Ethereum bridge exploit
4. GoPlus Security – on-chain анализ на Verus атаката
5. ExVul – анализ на forged cross-chain import payload при Verus
Забележка: Информацията, публикувана в Cryptoria.bg, има изцяло образователен и информационен характер и не представлява финансова, правна или инвестиционна консултация. Нито една статия, анализ или новина на този уебсайт не следва да се тълкува като препоръка, оферта или покана за покупка, продажба или участие в каквито и да е криптовалути, дигитални активи или финансови инструменти.
Отказ от отговорност: Криптовалутите и свързаните с тях технологии са обект на висока волатилност и повишен риск. Препоръчваме ви винаги да провеждате собствено проучване (DYOR) и да се консултирате с лицензиран финансов или правен експерт, преди да вземате инвестиционни решения. Cryptoria.bg не носи отговорност за загуби или щети, произтичащи от използването на информацията, публикувана на този уебсайт.
Ако тази статия ви е харесала, но искате да се запознаете с още материали от света на Биткойн и криптовалутите, не се колебайте да посетите страницата „Крипто знание" или терминологичния ни „Крипто речник".
"Fix the money, fix the world."
