Безпекова установа CertiK 13 квітня виявила, що кросчейн-гейтвейний смартконтракт Hyperbridge зазнав атаки через вразливість. Зловмисник використав підроблені повідомлення, щоб обійти перевірку контракту, і успішно змінив права адміністратора контракту токена DOT, що з’єднує Polkadot. Після цього він незаконно карбував 1 млрд (10^9) токенів мостового DOT і одразу повністю розпродав їх в одному-єдиному транзакційному записі. Зрештою прибуток становив лише 108.2 ETH, що еквівалентно 23.7 тис. доларів США.
Механізм атаки: як підроблені кросчейн-повідомлення дають контроль над адміністратором
(Джерело: CertiK)
Hyperbridge — це кросчейн-протокол, розгорнутий у мережі Ethereum, який дозволяє активам таких мереж, як Polkadot, циркулювати в Ethereum у формі токенів, що з’єднують (bridge). Згідно з моніторингом CertiK, зловмисник виявив вразливість у механізмі перевірки повідомлень у контракті. За допомогою формування фальшивих кросчейн-повідомлень він обійшов належні перевірки законності та успішно заволодів адміністративним контролем контракту токенів мостового DOT.
Після отримання прав адміністратора зловмисник виконав несанкціоновані операції з карбування монет, створивши 1 млрд токенів мостового DOT «з нічого», а потім одразу повністю розпродав їх в одній транзакції. Увесь процес — підробка повідомлень, підміна адміністратора, карбування та закриття позицій — відбувався on-chain. On-chain-ідентифікаційний інструмент Lookonchain підтвердив, що врешті-решт ця транзакція конвертувалась лише в 108.2 ETH.
Чому 1 млрд токенів дали лише 23.7 тис. доларів США: жорстка математика пастки ліквідності
Найбільш іронічною деталлю в цій атаці є величезний розрив між 1 млрд токенів і 23.7 тис. доларів США. Данні Lookonchain показують, що перед розпродажем зловмисником котирування мостового DOT було близько 1.22 долара США, тож теоретично максимальний арбітражний потенціал перевищував 1.2 млрд доларів США; однак гігантський продаж 1 млрд токенів миттєво перевищив глибину ліквідності, яку он-chain ринок міг поглинути. Ціна монети впала з 1.22 долара США до майже нуля, і абсолютна більшість додатково карбованих токенів фактично перетворилась на непотріб.
Це типова «пастка ліквідності»: зловмисник може створити токени, але не може створити покупців.
Ключові дані цієї атаки (підсумок)
Контракт, що зазнав атаки: кросчейн-гейтвейний смартконтракт Hyperbridge у мережі Ethereum
Спосіб атаки: підробка кросчейн-повідомлень і підміна прав адміністратора контракту токенів DOT, що з’єднує
Незаконно випущений обсяг: 1 млрд токенів, мостовий DOT у мережі Ethereum
Ціна монети до продажу: близько 1.22 долара США; після продажу: майже нуль
Фактичний прибуток атакувальника: 108.2 ETH (близько 23.7 тис. доларів США)
Теоретично найвищий арбітраж: якби ліквідності було достатньо, теоретично можна було б отримати понад 1.2 млрд доларів США
Зона впливу: мостовий DOT у мережі Ethereum; рідний ланцюг Polkadot напряму не постраждав
Важливе розмежування: безпекові межі між мостовими активами та рідним DOT Polkadot
Цією атакою було націлено на контракт токенів мостового DOT, розгорнутий у мережі Ethereum. Консенсусний механізм рідного основного ланцюга Polkadot та його рідного токена DOT у межах цієї події не зазнав прямої атаки або впливу.
Кросчейн-мости роками були одним із найбільш зосереджених на безпекових ризиках елементів у DeFi-екосистемі. Смартконтракти, що стоять за мостовими активами, зазвичай розгортаються незалежно. Їхні стандарти безпекового аудиту та механізми моніторингу можуть відрізнятися від рідної мережі, що дозволяє атакувальникам створювати шкоду через уразливості контрактів мосту, не торкаючись основного ланцюга. Користувачі, які тримають мостові активи, мають чітко розуміти: ризики, які вони несуть, походять не лише з базового основного ланцюга, а й із безпеки смартконтрактів самої мостової інфраструктури.
Поширені запитання
Що таке Hyperbridge? Який у нього зв’язок із Polkadot?
Hyperbridge — це кросчейн-протокол, розгорнутий у мережі Ethereum, який дозволяє активам таких мереж, як Polkadot, циркулювати в Ethereum у формі токенів, що з’єднують. Він є однією з базових інфраструктур, що з’єднує екосистеми Polkadot і Ethereum, але за технічною архітектурою є незалежним від роботи рідного основного ланцюга Polkadot.
Атакувальник карбував 1 млрд DOT. Чому в підсумку він заробив лише 23.7 тис. доларів США?
Коли атакувальник розпродав 1 млрд мостового DOT, глибина ліквідності в мережі Ethereum була далеко недостатньою, щоб прийняти такий обсяг ринкових продажів. Тиск продажу миттєво знизив ціну токена з 1.22 долара США до майже нуля, через що більшість карбованих токенів майже не змогла бути конвертована в гроші. У підсумку він зміг реалізувати лише дуже малу частку до того, як ринок фактично зруйнувався, отримавши близько 108.2 ETH.
Чи вплинула ця атака на власників DOT у рідному ланцюгу Polkadot?
Згідно з аналізом CertiK, об’єктом атаки був контракт мостового DOT у мережі Ethereum; рідний основний ланцюг Polkadot та рідний токен DOT не зазнали прямого впливу. Інвестори, які тримають DOT основного ланцюга Polkadot, стикаються з опосередкованим ударом по ринкових настроях, а не з прямим ризиком безпеки базових активів.
