Зловмисник викрав 10 мільйонів доларів у криптовалюті з Poly Network – деталі події

Досвідчений хакер здійснив експлойт інфраструктури Poly Network під час останнього інциденту, успішно вивівши майже 10 мільйонів доларів США в ETH. Про це повідомила компанія Beosin, яка спеціалізується на кібербезпеці. Ця атака стала ще одним серйозним викликом для безпеки мостів між блокчейнами у децентралізованій фінансовій екосистемі.

На початку липня Poly Network через соціальні мережі підтвердила, що стала жертвою DeFi-експлойту. Уразливість дала змогу зловмиснику емісувати понад 34 мільярди доларів США у криптовалютних токенах. Масштаб цього інциденту ще раз підкреслив високі ризики безпеки в протоколах міжмережевих мостів.

Poly Network, яка є мостом між блокчейнами та забезпечує безперешкодну передачу активів між різними мережами, оголосила про тимчасове призупинення сервісу одразу після виявлення інциденту. Цей захід був запроваджений для запобігання подальшому експлойту і захисту активів користувачів.

Команда розробників DeFi-мережі повідомила, що механізм експлойту дозволив хакеру емісувати 57 типів токенів на 10 різних блокчейнах. Постраждали основні мережі, зокрема Ethereum, BNB Chain, Metis, Polygon, Avalanche, Heco та інші великі платформи. Такий мультиблокчейновий вплив продемонстрував складність атаки та взаємопов'язані вразливості міжмережевої інфраструктури.

Після успішного експлойту на гаманці зловмисника було понад 42 мільярди доларів США у токенах. Водночас переведення цих штучно емісованих активів у ліквідні кошти виявилося набагато складнішим, ніж сам експлойт.

Незважаючи на велику номінальну вартість токенів, зловмисник зіткнувся з серйозними труднощами при спробі конвертувати весь емісований обсяг у готівку. Серед перешкод — недостатня ліквідність на децентралізованих біржах та заходи безпеки, впроваджені блокчейн-мережами і централізованими платформами. Ця ситуація демонструє важливий аспект безпеки DeFi: хоча експлойти створюють штучну пропозицію токенів, для конвертації їх у реальні кошти потрібно подолати багато рівнів захисту і ринкових обмежень.

Що стало причиною злому?

За висновками аналітиків Beosin та Dedaub, компрометація Poly Network, ймовірно, сталася через крадіжку приватних ключів, які використовувалися у головному смарт-контракті платформи. Це критичний висновок для розуміння природи вразливості.

Експерти з кібербезпеки наголосили, що не вважають експлойт наслідком конкретної помилки в логіці чи коді смарт-контракту. Вектор атаки був фундаментальним і стосувався автентифікації та авторизації, а не недоліків програмування.

За твердженнями компанії з кібербезпеки, було скомпрометовано приватні ключі трьох із чотирьох адміністративних гаманців, які керують головним смарт-контрактом мережі. Така атака особливо небезпечна, оскільки дозволяє обійти захисну логіку смарт-контракту за допомогою справжніх адміністративних облікових даних. Якщо кілька ключів адміністраторів скомпрометовані, зловмисники можуть виконувати дії, що зазвичай вимагають узгодження між адміністраторами.

Мультипідписна модель безпеки, яку використовує Poly Network, має запобігати "єдиній точці відмови". Однак у випадку компрометації більшості ключів ця модель втрачає ефективність. Інцидент підкреслив критичну роль управління ключами у блокчейн-інфраструктурі.

Станом на момент підготовки матеріалу команда Poly Network не надала офіційного підтвердження чи коментарів щодо цих висновків. Відсутність оперативної інформації є типовою для поточних розслідувань, оскільки команди прагнуть повністю з'ясувати вектор атаки і запобігти подальшим експлойтам.

Команда розробників DeFi-мережі повідомила про активну співпрацю з централізованими біржами та правоохоронними органами для ідентифікації злочинця й повернення викрадених коштів. Такий комплексний підхід включає блокчейн-аналітику, відстеження транзакцій і традиційні слідчі методи. Команда оголосила про тимчасове призупинення сервісу як обов'язковий захід захисту на час розслідування та відновлення.

Після злому Poly Network генеральний директор провідної біржі запевнив користувачів, що інцидент не вплинув на клієнтів його платформи. Він уточнив, що біржа не підтримує депозити з цієї мережі, завдяки чому її користувачі не постраждали. Це підкреслює важливість вибіркової інтеграції та управління ризиками для криптобірж.

Команда експлуатованої мережі надала термінові рекомендації постраждалим проєктам щодо виведення ліквідності з децентралізованих бірж. Крім того, користувачам, які володіють постраждалими активами, порадили розблокувати їх і повернути токени пулу ліквідності, пов'язані з цими криптоактивами. Такі заходи спрямовані на мінімізацію втрат і запобігання отриманню додаткової ліквідності зловмисником.

У зверненні до зловмисників команда закликала повернути викрадені кошти, щоб уникнути юридичних наслідків. Подібні звернення є поширеними у криптоіндустрії та іноді призводять до повернення активів, особливо коли зловмисники стикаються з ризиком кримінального переслідування.

Друга масштабна атака на Poly Network

Останній експлойт став другою великою атакою на Poly Network за останні роки, що піднімає питання щодо безпеки платформи та серйозних викликів для протоколів мостів між блокчейнами.

В одному з попередніх інцидентів група хакерів скористалася вразливістю в архітектурі мережі, викравши майже 611 мільйонів доларів США у криптовалютах. Той випадок є одним із найбільших злому у криптоіндустрії як за сумою викрадених коштів, так і за складністю атаки.

Примітно, що тоді хакери повернули майже всі активи приблизно через два дні після злому. Це спричинило численні спекуляції щодо мотивів зловмисників — від демонстрації "white-hat"-хакерства до побоювань переслідування правоохоронцями і труднощів із відмиванням великої суми криптовалюти.

Згідно з аналітичними звітами того періоду, експлойт стався через ймовірний витік приватного ключа, який використовувався для підпису міжмережевих повідомлень. Цей вектор схожий із останнім інцидентом, що свідчить про те, що управління ключами залишається актуальною проблемою для платформи.

Повторення масштабних атак на одній платформі за короткий час підкреслює кілька критичних проблем для DeFi-сектору. По-перше, це показує, що навіть після усунення наслідків попередньої атаки і впровадження виправлень захист від майбутніх атак не гарантовано, якщо архітектурні вразливості залишаються незмінними. По-друге, це акцентує специфічні проблеми протоколів мостів між блокчейнами, які мають забезпечити безпеку у багатьох мережах одночасно.

Мости між блокчейнами, такі як Poly Network, стикаються з унікальними викликами безпеки, оскільки повинні управляти активами та автентифікацією у різних блокчейн-середовищах, кожне з яких має свої особливості захисту та потенційні вразливості. Складність таких систем створює багато поверхонь для атак, а значна вартість контрольованих активів робить їх привабливими для досвідчених зловмисників.

Повторювані експлойти на інфраструктурі мостів між блокчейнами мають ширші наслідки для DeFi-сектору. Це свідчить, що сучасні моделі безпеки таких протоколів потребують фундаментального перегляду — з впровадженням надійнішого управління ключами, розширеного моніторингу і більш стійких механізмів консенсусу для адміністративних функцій. Індустрія продовжує шукати рішення, адже міжмережева інтеграція стає все важливішою для розвитку блокчейну.

FAQ

Що таке Poly Network і чому її атакували?

Poly Network — це протокол міжмережевої інтеграції, який дозволяє передавати активи між різними блокчейнами. Атака стала можливою через вразливість у механізмі перевірки смарт-контракту, що дозволило зловмисникам використати недоліки валідації підпису і вивести близько 10 мільйонів доларів США в криптоактивах на різних мережах.

Як було викрадено 10 мільйонів доларів США під час цієї атаки? Які методи використовував зловмисник?

Зловмисник скористався вразливістю протоколу мосту між блокчейнами Poly Network, отримавши доступ до приватних ключів без авторизації. Далі він перевів кошти шляхом шахрайських транзакцій у різних блокчейн-мережах, переказавши активи на контрольовані гаманці до усунення вразливості.

Яка була конкретна причина вразливості Poly Network? Це була помилка коду смарт-контракту?

Злом Poly Network стався через критичну вразливість у смарт-контракті мосту між блокчейнами, зокрема в механізмі перевірки підпису. Зловмисники скористалися недосконалою логікою валідації для підробки транзакцій і несанкціонованого переказу коштів, обходячи захисні перевірки міжмережевих операцій.

Який вплив цієї атаки на активи користувачів? Чи можна повернути викрадені кошти?

Атака поставила під загрозу активи користувачів у постраждалих мережах — було виведено 10 мільйонів доларів США з пулів ліквідності Poly Network. Повернення коштів залежить від блокчейн-розслідувань і співпраці з правоохоронцями; частину активів можна відстежити і заморозити, але повне відновлення залишається малоймовірним. Користувачам варто перевірити свої баланси та активувати додаткові заходи безпеки.

Які ризики безпеки властиві протоколам мостів між блокчейнами, як Poly Network?

Мости між блокчейнами мають ризики вразливості смарт-контрактів, компрометації валідаторів і маніпуляції ліквідністю. Злом Poly Network у 2021 році показав недостатній контроль доступу і недоліки перевірки підпису. Основні ризики — це баги коду, атаки на оракули, недостатній аудит і централізовані валідаторські набори, які можуть стати мішенню для крадіжки коштів між мережами.

Як користувачам захистити свої криптоактиви від подібних атак?

Зберігайте криптоактиви на апаратних гаманцях для довгострокового зберігання, використовуйте мультипідписну автентифікацію, регулярно оновлюйте протоколи безпеки, перевіряйте аудити смарт-контрактів перед взаємодією і ніколи не передавайте приватні ключі чи seed-фрази стороннім особам.

Які заходи Poly Network вжила для відновлення та підвищення безпеки після інциденту?

Poly Network впровадила розширені протоколи безпеки, здійснила комплексні аудити смарт-контрактів, започаткувала програму пошуку багів і модернізувала міжмережеві механізми перевірки. Також було підвищено рівень моніторингу і організовано співпрацю із компаніями з кібербезпеки для запобігання новим атакам.