Три криптопроекта понесли суммарный ущерб более чем на $11 млн 24 сентября: под атаки попали Payy Network, Duelbits и Meter Network, причём в каждом случае использовался свой вектор взлома.
Главное:
- Payy Network потеряла около $1,8 млн после опустошения моста Ethereum, а убытки Duelbits приблизились к $7 млн.
- В Meter хакеры сгенерировали около $2,3 млн ничем не обеспеченных активов и частично вывели их через PancakeSwap.
- Инциденты выявили риски в мостах, горячих кошельках и системах верификации токенов.
Атаки на Payy и Duelbits
Payy Network, платформа для ончейн‑платёжных ведомостей и корпоративного казначейства, остановила работу сети после атаки на мост Ethereum (ETH). Ончейн‑исследователь Specter отследил подозрительные транзакции через мост и сообщил, что злоумышленник использовал Railgun для первоначального финансирования, после чего конвертировал около $1,8 млн в USD Coin (USDC) в эфир. В Payy уточнили, что выведенные активы были некостодиальными депозитами пользователей Payy Network и Payy Wallet.
Следующей под удар попала платформа Duelbits. PeckShield изначально оценивала ущерб примерно в $4,3 млн, но Specter выявил дополнительные затронутые адреса в сетях Bitcoin (BTC) и Solana (SOL). Сооснователь Duelbits позже назвал ориентировочную сумму потерь около $7 млн и заверил, что «средства пользователей в безопасности».
В случае Meter был задействован иной механизм. По данным Blockaid, злоумышленник эксплуатировал протокол Meter Passport и смог чеканить ничем не обеспеченные активы примерно на $2,3 млн, а затем частично реализовал их через PancakeSwap. На этом фоне токен MTR (MTR) просел почти на 80%, а MTRG (MTRG) — примерно на 75%.
Также по теме: Прорыв Ethereum зависит от $2,8 тыс. после возврата выше 200‑дневной средней
Анализ уязвимостей от Blockaid
Эксперты по безопасности указывают, что в трёх эпизодах сработали разные точки отказа, а не единый эксплойт. В Payy по итогам первичного анализа заявили, что инцидент «НЕ был связан с компрометацией ключа, социальной инженерией или взломом нашей офчейн‑инфраструктуры». В случае Duelbits, напротив, сообщения указывают на вероятную компрометацию приватного ключа. Выводы Blockaid по Meter фокусируются на несанкционированной эмиссии через мост.
Серия атак произошла на фоне отдельной истории с биржей Bitget, которая расследует несанкционированные переводы активов, изначально оценённые примерно в $351,6 млн, и на время проверки безопасности приостановила вывод средств. Торги и ввод депозитов продолжались, а биржа подчеркнула, что отображаемые балансы пользователей остаются корректными. Отдельно KelpDAO подала иск против LayerZero и сооснователя Брайана Пеллегрино из‑за хищения $292 млн, утверждая, что потери стали следствием нераскрытых рисков и технологических просчётов.
Инциденты 24 сентября также вернули к повестке старые вопросы к безопасности двух затронутых проектов. Duelbits уже теряла около $4,6 млн в 2024 году в результате атаки, которую CertiK связала с возможной утечкой приватного ключа. Meter в 2022‑м пережила взлом моста примерно на $4,4 млн.
Читайте далее: Майкл Сэйлор хочет, чтобы банки превратили биткоин в повседневное обеспечение по сделкам
