Обзор инцидентов безопасности кроссчейн моста: десять атак затронули более 1,9 миллиарда долларов

Кроссчейн мост как ключевая инфраструктура, соединяющая различные блокчейн-сети, в последние годы часто подвергался атакам, что повлекло за собой значительные финансовые потери. В данной статье рассматривается десять крупных инцидентов безопасности кроссчейн мостов, в которых в общей сложности было задействовано более 1,9 миллиарда долларов, из которых около 1,55 миллиарда долларов уже были возвращены или выплачены. Эти случаи подчеркивают те вызовы безопасности, с которыми сталкиваются кроссчейн мосты, и предоставляют ценнейший опыт для отрасли.

ChainSwap: Убытки от двух атак составили около 8 миллионов долларов

В июле 2021 года ChainSwap за короткий срок в 9 дней подвергся двум атакам. В первый раз ущерб составил около 800 тысяч долларов, во второй раз он увеличился до 8 миллионов долларов, затронув более 20 проектов, использующих ChainSwap для кросс-чейн.

Причиной атаки является то, что протокол не строго проверяет действительность подписей, что позволяет злоумышленникам использовать собственные сгенерированные подписи для завершения транзакций. Поскольку в основном пострадали治理代币, несколько проектов выбрали сделать снимок и повторно выпустить токены для компенсации держателей.

Poly Network: 6,1 миллиарда долларов США, украденные после кражи, были полностью возвращены

В августе 2021 года кросс-чейн протокол Poly Network столкнулся с серьезной атакой, в результате которой было потеряно около 610 миллионов долларов активов на Ethereum, Binance Smart Chain и Polygon.

Атака использовала уязвимость в управлении правами контракта, и злоумышленник успешно изменил адреса валидаторов на целевой цепи. Хотя первоначальная подготовка была достаточной, хакер в конечном итоге решил вернуть все средства, и Poly Network также назвала его "белым хакером".

Multichain: компенсация убытков в размере 6 миллионов долларов из-за уязвимости была выплачена

В январе 2022 года Multichain обнаружил важную уязвимость, затрагивающую множество токенов. Около 7962 адресов пользователей были затронуты, что привело к убыткам на сумму 6,04 миллиона долларов.

Уязвимость возникла из-за некорректной проверки законности входного токена пользователя. Официально возвращено почти 50% украденных средств, и предложен план компенсации, но только для пользователей, которые своевременно отменили авторизацию.

QBridge: потеря в 80 миллионов долларов компенсирована лишь на 2%

В конце января 2022 года кроссчейн мост QBridge кредитной платформы Qubit был атакован, в результате чего был потерян около 80 миллионов долларов.

Атакующие воспользовались уязвимостью QBridge при обработке переводов токенов из белого списка, успешно выпустив большое количество токенов xETH на BSC и обнулив залоги Qubit. В настоящее время использование Qubit низкое, 98% украденных средств еще не были компенсированы.

Meter.io: убыток в 4,4 миллиона долларов будет компенсирован будущими доходами

В феврале 2022 года кроссчейн мост Meter Passport был атакован, что привело к убыткам в 4,4 миллиона долларов.

Проблема заключается в "ошибочной гипотезе доверия" в базовом коде, которая позволяет злоумышленникам подделывать переводы BNB и ETH. Meter компенсирует это, выпуская новый токен PASS, обещая выкупить его за будущие доходы, но это еще не реализовано.

Ronin: полное возмещение после кражи на сумму 620 миллионов долларов

В марте 2022 года блокчейн Ronin, используемый Axie Infinity, подвергся значительной атаке на сумму 620 миллионов долларов.

Атака была осуществлена с использованием методов социального инжиниринга, хакеры проникли в систему через поддельные вакансии и в конечном итоге контролировали несколько узлов верификации. Несмотря на то, что похищенные средства не удалось вернуть, разработчик Sky Mavis успешно собрал 150 миллионов долларов в ходе финансирования для компенсации убытков пользователей.

Wormhole: мгновенное пополнение потерь в 326 миллионов долларов

В феврале 2022 года кросс-чейн протокол Wormhole был атакован, убытки составили около 3,26 миллиарда долларов.

Атака использовала уязвимость в проверке подписи в смарт-контракте Solana. Приобретатель компании-разработчика Jump Crypto быстро добавил эквивалентное количество ETH, что позволило восстановить работу Wormhole.

EvoDeFi: подозрение на наличие бэкдора для кражи активов пользователей

В июне 2022 года USDT на DEX ValleySwap экосистемы Oasis серьезно отклонился от курса, что привело к оценочным потерям в десятки миллионов долларов.

Проблема возникла из-за недостатка ликвидности на исходной цепи в кроссчейн мосту EVODeFi. Существуют предположения, что возможно, через заднюю дверь были украдены активы пользователей. В настоящее время ни одна из заинтересованных сторон не предоставила решение, и убытки пользователей не могут быть возмещены.

Horizon: убытки почти в 100 миллионов долларов, план компенсации все еще разрабатывается

В июне 2022 года официальный кроссчейн мост Harmony Horizon был атакован, что привело к убыткам около 100 миллионов долларов.

Официально признано, что причиной атаки могла стать утечка приватного ключа. В настоящее время ведутся переговоры с сообществом о разработке нового плана компенсации.

Nomad: 190 миллионов долларов украдено, часть средств может быть возвращена

В августе 2022 года кроссчейн мост Nomad подвергся серьезной атаке на сумму 190 миллионов долларов.

Атака произошла из-за ошибки инициализации при обновлении контракта. В настоящее время нет четкой схемы компенсации, но некоторые белые хакеры уже выразили готовность вернуть средства.

Итог

Эти примеры показывают, что даже ведущие проекты кроссчейн мостов сталкиваются с серьезными угрозами безопасности. В то же время, проекты с сильным фоном имеют преимущества в управлении кризисами и часто могут лучше защищать интересы пользователей. В то же время эффективный мониторинг в реальном времени и механизмы быстрого реагирования также являются ключевыми для предотвращения атак. Проблемы безопасности кроссчейн мостов по-прежнему требуют постоянного внимания и улучшения со стороны отрасли.