9 ноября в результате нарушения безопасности в кросс-чейн мосте Ankr для Ethereum произошло пять несанкционированных выводов средств на общую сумму более $303 000, согласно данным блокчейн-мониторинговой компании Blockaid. По всей видимости, атакующий повторно использовал небольшой депозит, сделанный в Optimism 3 ноября, чтобы запросить несколько выводов различных токенов в сети Ethereum.

ETH / USD
Источник: CoinGecko. Цены ориентировочные.

Как разворачивался эксплойт

Анализ Blockaid показывает, что атакующий сослался на депозит в 0,0044024803 ankrETH, который уже был погашен в Ethereum. Отправив пять новых запросов на вывод с измененными данными квитанции (изменив получателя, тип токена и сумму), атакующий заставил логику авторизации моста одобрить переводы. Выводы средств произошли между 3:09 и 3:12 по восточному времени и были отправлены на один адрес кошелька.

Изъятые активы и их оценочная стоимость

Наибольшую часть потерь составил примерно 82,91 ankrETH стоимостью около $216 370. Атакующий также вывел 515 206 токенов ankrPOL ($56 372) и около 7,98 млн токенов ANKR ($30 857). Были переведены еще два актива — 5 372,25 aMATICb и 0,8196 aETHb, однако их рыночная стоимость не была доступна в Etherscan на момент публикации, поэтому они не включены в оценку в $303 000.

Реакция и общий контекст

Публичный флаг паузы Ankr оставался в состоянии false на протяжении всего инцидента, и компания публично не комментировала нарушение безопасности и не подтвердила, затронуло ли это ее RPC-сервисы или другие продукты. Ранее в августе компания понесла отдельный ущерб в размере около $410 000, когда уязвимость в контракте ankrFLOW позволила создать токены без обеспечения. В этом году сообщалось о подобных эксплойтах мостов, включая атаки на мост BNB Smart Chain от Cysic и оператора моста XRPL, что подчеркивает сохраняющиеся проблемы в верификации кросс-чейн транзакций.

За чем следить дальше

Инвесторы и разработчики будут следить за официальными заявлениями Ankr о мерах по устранению уязвимости, возможной компенсации для пострадавших пользователей и внедрении дополнительных патчей безопасности. Регуляторы и исследователи безопасности также, вероятно, изучат, заключается ли дефект в процессе подписания моста, валидации квитанций или в другом компоненте, что может повлиять на будущие стандарты проектирования кросс-чейн мостов.