Безпека кросчейн мостів під загрозою: огляд 10 найбільших випадків атак, з сумою інвестицій понад 19 мільярдів доларів

В останні роки, з розвитком технології блокчейн, кросчейн міст як важлива інфраструктура, що з'єднує різні публічні блокчейни, привертає значну увагу до своєї безпеки. Однак, через те, що він управляє величезними сумами грошей і має часті операції, кросчейн міст став популярною мішенню для хакерських атак. У цій статті буде розглянуто 10 значних випадків атак на кросчейн мости, які сталися нещодавно, підсумовано отримані уроки та надано попередження для галузі.

1. ChainSwap: втрата 8 мільйонів доларів

У липні 2021 року ChainSwap зазнав двох атак, внаслідок яких загальні збитки склали близько 8 мільйонів доларів США. Друга атака вплинула на понад 20 проектів, що використовували ChainSwap. Причиною атаки стало те, що протокол не суворо перевіряв дійсність підписів. Після цього кілька проектів компенсували збитки користувачів шляхом створення знімків і повторної емісії токенів.

2. Poly Network: 6,1 мільярда доларів США, які були вкрадені, були повністю повернені

У серпні 2021 року Poly Network зазнав атаки, внаслідок чого на кількох ланцюгах було втрачено близько 610 мільйонів доларів. Зловмисники скористалися вразливістю в управлінні правами контракту, змінивши адреси валідаторів цільового ланцюга. Врешті-решт, всі вкрадені кошти були повернені.

3. Multichain: Втрати в 6 мільйонів доларів були компенсовані

У січні 2022 року Multichain виявив важливу вразливість, яка вплинула на кілька токенів. Під загрозою опинилися близько 7962 адрес користувачів, які зазнали збитків у 604 тисячі доларів. Джерело вразливості полягало в тому, що контракт не перевіряв легітимність токенів. Команда вже повернула майже 50% коштів і здійснила компенсацію.

4. QBridge: збитки в 80 мільйонів доларів, лише 2% відшкодування

У січні 2022 року протокол кредитування Qubit зазнав атаки на QBridge, внаслідок чого було втрачено близько 80 мільйонів доларів. Зловмисники скористалися вразливістю контракту для безкоштовної емісії токенів xETH на BSC. Наразі 98% вкрадених коштів все ще не були компенсовані.

5. Meter.io: збитки у 4,4 мільйона доларів, обіцянка компенсації майбутніх доходів

У лютому 2022 року кросчейн міст Meter Passport зазнав атаки, внаслідок чого було втрачено 4,4 мільйона доларів. Причиною стала наявність "помилкових довірчих припущень" у контракті. Розробники пообіцяли компенсувати користувачам збитки за рахунок майбутніх доходів.

6. Ronin: Виплачено 6,2 мільярда доларів збитків

У березні 2022 року Ronin-ланцюг, що стоїть за Axie Infinity, зазнав атаки соціальної інженерії, внаслідок якої було втрачено 6.2 млн. Дослідники проникли в систему через підроблені вакансії та контролювали кілька верифікаційних вузлів. Розробник Sky Mavis залучив 150 млн доларів для компенсації користувачів.

7. Wormhole: 3.26 мільярда доларів США втрат вже компенсовано

У лютому 2022 року Wormhole зазнав атаки, в результаті якої було втрачено близько 326 мільйонів доларів. Зловмисники використали уразливість верифікації підпису на стороні Solana для випуску великої кількості whETH. Jump Crypto вклали 120 тисяч ETH у Wormhole для компенсації збитків.

8. EvoDeFi: оцінені десятки мільйонів доларів збитків не оброблені

У червні 2022 року на екосистемному DEX Oasis ValleySwap USDT серйозно втратив прив'язку, причиною чого стала недостатня ліквідність вихідного ланцюга кросчейн мосту EVODeFi. Конкретна сума збитків невідома, але очікується, що вона досягне десятків мільйонів доларів. Збитки користувачів до теперішнього часу не були вирішені.

9. Horizon: збитки близько 100 мільйонів доларів, розробка плану компенсації триває

У червні 2022 року кросчейн міст Horizon від Harmony зазнав атаки, внаслідок чого було втрачено близько 100 мільйонів доларів. Причиною могла стати витік приватного ключа. Проектна команда веде обговорення з громадою щодо розробки плану компенсації.

10. Nomad: 190 мільйонів доларів США збитків, частину коштів можливо повернути

У серпні 2022 року кросчейн міст Nomad зазнав атаки, в результаті якої було втрачено 190 мільйонів доларів. Атака сталася через низькорівневу помилку під час оновлення контракту. Деякі білих хакерів висловили готовність повернути кошти, але конкретний план компенсації ще не визначено.

Підсумок

кросчейн міст як високоризикова область, навіть провідні проекти не можуть уникнути атак. Однак проекти з потужними фінансовими ресурсами та сильним командним бекграундом зазвичай краще справляються з питаннями компенсації після інцидентів безпеки. Для користувачів вибір проектів кросчейн міст з більшою потужністю може бути більш надійним. Водночас, проектні команди повинні посилити моніторинг в реальному часі та механізми швидкого реагування, щоб максимально знизити потенційні втрати.