Trzy projekty kryptowalutowe zanotowały łączne straty przekraczające 11 mln USD 24 września. Ofiarami ataków padły Payy Network, Duelbits oraz Meter Network, przy czym w każdym przypadku wykorzystano inny wektor ataku.
Kluczowe informacje:
- Payy Network straciło ok. 1,8 mln USD po wyczyszczeniu mostu na Ethereum, natomiast Duelbits odnotowało straty rzędu 7 mln USD.
- Atakujący w sieci Meter wybili ok. 2,3 mln USD niezabezpieczonych aktywów i sprzedali część z nich na PancakeSwap.
- Zdarzenia te ujawniły ryzyka związane z mostami, hot walletami oraz systemami weryfikacji tokenów.
Ataki na Payy i Duelbits
Payy Network, on-chainowa platforma do obsługi wynagrodzeń i skarbca firmowego, wstrzymała działanie sieci po ataku na most Ethereum (ETH), o czym poinformowano w serwisie CryptoNews. Analityk on-chain Specter prześledził podejrzane transfery przez most i wskazał, że atakujący skorzystał z Railgun do pozyskania środków, a następnie wymienił ok. 1,8 mln USD w USD Coin (USDC) na Ethereum. Payy podało, że środki zostały wyprowadzone z depozytów niepowierniczych należących do użytkowników Payy Network i Payy Wallet.
Niedługo później celem ataku stało się Duelbits. Firma analityczna PeckShield początkowo oszacowała straty na 4,3 mln USD, po czym Specter zidentyfikował kolejne zagrożone adresy w sieciach Bitcoin (BTC) i Solana (SOL). Współzałożyciel Duelbits podniósł później szacunek łącznych strat do ok. 7 mln USD i podkreślił, że „środki użytkowników są bezpieczne”.
Incydent w Meter miał inny charakter. Według Blockaid atakujący wykorzystał lukę w Meter Passport, by wybić ok. 2,3 mln USD niezabezpieczonych aktywów, a część z nich spieniężyć na PancakeSwap. W reakcji na zdarzenie kurs MTR (MTR) spadł o blisko 80%, a MTRG (MTRG) o ok. 75%.
Zobacz także: Wybicie Ethereum zależy od poziomu 2,8 tys. USD po odzyskaniu 200-dniowej średniej
Kontekst bezpieczeństwa według Blockaid
Eksperci ds. bezpieczeństwa wskazywali na różne punkty krytyczne w każdym z trzech ataków, a nie na jedną wspólną podatność. Payy wstępnie ustaliło, że przyczyną incydentu „NIE był skompromitowany klucz, atak socjotechniczny ani luka w naszej infrastrukturze off-chain”. W przypadku Duelbits raporty sugerują natomiast prawdopodobne przejęcie klucza prywatnego. Wnioski Blockaid dotyczące Meter koncentrowały się z kolei na nieautoryzowanej emisji tokenów poprzez most.
Seria ataków zbiegła się w czasie z dochodzeniem prowadzonym przez giełdę Bitget w sprawie nieautoryzowanych transferów aktywów, których wstępna wartość została oszacowana na ok. 351,6 mln USD. Bitget tymczasowo wstrzymał wypłaty na czas dodatkowych kontroli bezpieczeństwa, utrzymując jednak handel i depozyty, i zapewnił, że wyświetlane salda użytkowników pozostają prawidłowe. Równolegle KelpDAO pozwało LayerZero oraz współzałożyciela Briana Pellegrino w związku z włamaniem na 292 mln USD, zarzucając im zatajanie ryzyk oraz niedostatki technologiczne, które miały doprowadzić do strat.
Wydarzenia z 24 września odświeżyły też wcześniejsze obawy o bezpieczeństwo dwóch spośród zaatakowanych projektów. Duelbits w 2024 r. straciło ok. 4,6 mln USD w wyniku ataku, który – według CertiK – mógł być powiązany z wyciekiem klucza prywatnego. Meter natomiast już w 2022 r. padł ofiarą exploita na moście o wartości ok. 4,4 mln USD.
Przeczytaj następnie: Michael Saylor chce, by banki uczyniły Bitcoina codziennym zabezpieczeniem
