Du „Ethereum“ tiltai per kelias valandas praranda 31,7 mln. USD, nes trečiasis protokolas nustoja dalyvauti
AFX ir Verus-Ethereum tiltas patyrė apie 31,69 mln. USD nuostolių per kelias valandas vienas nuo kito, o „B² Network“ atskirai sustabdė žetonų naudojimą po neteisėtos prieigos prie sutarties atnaujinimo institucijos.
„Blockaid“ pranešė, kad aptiko AFX išnaudojimą liepos 22 d., apie 21.30 val. UTC. Arbitrum sandoris užfiksavo 24,15 mln. USDC, paliekant tiltą, kurį valdo AFX, decentralizuotas Arbitrum prekybos protokolas.
AFX sustabdė savo USDC saugojimo tiltą ir teigė, kad incidentas buvo izoliuotas nuo jos prekybos infrastruktūros, pagrindinio tinklo ir Arbitrum tinklo. Paveiktas komponentas buvo trečiosios šalies tiltas, o ne vietinis Arbitrum tiltas.
Preliminariose išvadose, paskelbtose liepos 24 d., AFX priskyrė incidentą koordinuotai socialinei inžinerijai ir infrastruktūros kompromisui. Protokole teigiama, kad prieiga prasidėjo kūrimo aplinkoje, o vėliau perėjo į vidinę kūrimo infrastruktūrą ir tikrinimo sistemas.
AFX teigė, kad tikrina likučius, siekia susigrąžinti lėšas ir ruošiasi ištaisyti. Iki liepos 24 d. ji nebuvo paskelbusi apie užbaigtą lėšų grąžinimą ar galutinį kompensavimo planą.
Praėjus kelioms valandoms po AFX incidento, Ethereum sandoris parodė, kad Verus tiltas išleido 1 137 4528 ETH ir septynis žetonų pervedimus. „Blockaid“ nepadengtus išmokėjimus įvertino maždaug 7,54 mln.
„SlowMist“ analizė parodė, kad tiltas patvirtino aštuonis išėmimus, neįrodžius, kad juos remia atitinkamas turtas. Įmonė susiejo gedimą su ta pačia plačia kryžminės grandinės importo patvirtinimo klase kaip ir May išnaudojimą, tačiau teigė, kad abi atakos naudojo skirtingą mechaniką.
B² incidentas nebuvo atskleistas kaip tilto išnaudojimas. Tinklas teigė, kad buvo neteisėta prieiga prie sutarčių atnaujinimo institucijos. B² sustabdė įprastą statymą per saugos peržiūras, pareiškė, kad problema buvo apribota, ir pažadėjo visą kompensaciją paveiktiems vartotojams. Liepos 24 d. ji nepateikė dokumentų apie atliktą restituciją.
B² taip pat pasiūlė neautomatinį išėjimą: vartotojai galėjo prašyti panaikinimo per oficialią „Discord“, o nuosavybės patvirtintos užklausos turi būti apdorotos per vieną darbo dieną. Tinklas nenurodė nuostolių sumos, todėl jo incidentas neįtrauktas į 31,69 mln. USD tilto nuostolių sumą. Kol nebus atnaujintas įprastas statymas, ši rankinė peržiūra yra maršrutas B², kurį siūlo naudotojai, norintys atsiimti sumokėtus žetonus.
Trys epizodai atskleidė skirtingus valdiklius, nepriklausančius bazinės grandinės konsensusui. AFX saugojimo ir tikrinimo infrastruktūra, Verus tiltinės apskaitos patikros ir B² sutarčių atnaujinimo įgaliojimai tapo ta vieta, kur nepavyko pasiekti normalios prieigos.
Kitas naudotojų patikrinimas yra tai, ar atkūrimo planai grąžina lėšas, ar kryžminės grandinės patvirtinimas patvirtina ekonominį pagrįstumą ir ar atnaujinimo teisė yra apsaugota neatliekant avarinių išėjimų, priklauso nuo rankinio įsikišimo.
