Три криптопроекта понесли совокупный ущерб более чем на $11 млн 24 сентября: атакам подверглись Payy Network, Duelbits и Meter Network, причём в каждом случае злоумышленники использовали разные векторы взлома.
Ключевые моменты:
- Payy Network лишилась около $1,8 млн после опустошения Ethereum‑моста, тогда как убытки Duelbits оцениваются примерно в $7 млн.
- Атакующие Meter выпустили около $2,3 млн необеспеченных активов и частично продали их через PancakeSwap.
- Инциденты продемонстрировали уязвимости мостов, горячих кошельков и систем верификации токенов.
Взломы Payy и Duelbits
Payy Network, ончейн‑платформа для расчёта зарплат и управления казной, приостановила работу сети после атаки на мост Ethereum (ETH), о чём сообщалось в материале cryptonews. Ончейн‑исследователь Specter отследил подозрительные транзакции через мост и заявил, что хакер использовал миксер Railgun для первоначального финансирования, после чего обменял около $1,8 млн в USD Coin (USDC) на эфир. В Payy подчеркнули, что выведенные средства представляли собой некостодиальные депозиты, принадлежащие пользователям Payy Network и Payy Wallet.
Следующей была атакована платформа Duelbits. Аналитики PeckShield изначально оценили ущерб примерно в $4,3 млн, но Specter позже выявил дополнительные затронутые адреса в сетях Bitcoin (BTC) и Solana (SOL). Сооснователь Duelbits впоследствии сообщил, что суммарные потери приблизились к $7 млн, заверив при этом: «Средства пользователей в безопасности».
Инцидент с Meter развивался по иному сценарию. Компания Blockaid заявила, что злоумышленник воспользовался уязвимостью в мосте Meter Passport и сгенерировал около $2,3 млн ничем не обеспеченных токенов, после чего часть из них была реализована через PancakeSwap. На этом фоне токен MTR (MTR) подешевел почти на 80%, а MTRG (MTRG) упал примерно на 75%.
Также по теме: Прорыв Ethereum к росту зависит от $2,8 тыс. после возврата выше 200‑дневной средней
Контекст по выводам Blockaid
Эксперты по безопасности указали на разные точки отказа в каждом из трёх эпизодов, а не на единый общий эксплойт. В Payy по итогам первичного анализа заявили, что причиной взлома «НЕ стал компрометированный ключ, социнженерия или уязвимость в нашей офчейн‑инфраструктуре». В случае Duelbits, по сообщениям, наиболее вероятной причиной считают утечку приватного ключа. Выводы Blockaid по Meter, напротив, сосредоточены на несанкционированном выпуске токенов через мост.
Серия атак совпала по времени с расследованием инцидента на криптобирже Bitget, где фиксировались несанкционированные переводы активов, первоначально оценённые примерно в $351,6 млн. Площадка временно приостановила вывод средств для проведения проверок безопасности, однако торговля и депозиты продолжились, а сама биржа подчеркнула корректность отображаемых балансов клиентов. Отдельно KelpDAO подала в суд на LayerZero и его сооснователя Брайана Пеллегрино, требуя компенсации за взлом на $292 млн и утверждая, что потери были вызваны скрытыми рисками и технологическими просчётами.
Инциденты 24 сентября также вернули к повестке прежние проблемы безопасности у двух пострадавших проектов. Duelbits уже теряла около $4,6 млн в 2024 году в результате атаки, которую CertiK связала с возможной утечкой приватного ключа. Meter ранее, в 2022‑м, столкнулась с эксплойтом моста примерно на $4,4 млн.
Читайте далее: Майкл Сэйлор хочет, чтобы банки превратили биткоин в повседневное обеспечение по сделкам
