Експерти з кібербезпеки компанії Blockaid повідомили про атаку на DeFi протокол AFX. За їхніми даними, хакер вивів близько $24,15 млн у стейблкоїні USDC, після чого перевів активи до мережі Ethereum через протокол CCTP та обміняв їх на 12 467,5 ETH.
У Blockaid заявили, що співпрацюють із командою Arbitrum, розробниками AFX та іншими учасниками екосистеми, щоб локалізувати викрадені кошти й допомогти у реагуванні на інцидент.
Співзасновник Offchain Labs і один із розробників Arbitrum Стівен Голдфедер наголосив, що атака не зачепила нативну інфраструктуру мережі.
“Ми знаємо про повідомлення щодо злому моста в Arbitrum і проводимо розслідування. Можемо підтвердити, що транзакція походила зі стороннього протоколу, а нативний міст Arbitrum не зломали, ані скомпрометували”, — заявив він.
Засновник Phylax Systems Одіссеас Ламцідіс припустив, що причиною інциденту могла стати компрометація механізму валідаторів, а не вразливість смартконтрактів.
За його словами, було використано п’ять підписів валідаторів, які контролювали 7142 із 10 000 голосів, що перевищує необхідний поріг у дві третини. Після завершення 200-секундного періоду оскарження кошти були розблоковані й переведені до мережі Ethereum через CCTP.
AFX запропонувала хакеру залишити 30% викрадених коштів
У команді AFX повідомили, що попередній аналіз вказує на компрометацію лише кастодіального USDC-моста, який використовує сам протокол. При цьому торгова інфраструктура AFX, основна мережа проєкту та блокчейн Arbitrum, за словами розробників, не постраждали.
Наразі викрадені активи залишаються на адресі зловмисника. Їх відстежують учасники Crypto Defense Alliance (CDA), до якої входять криптобіржі та інші представники галузі. До розслідування також долучилася компанія Zellic, яка раніше проводила аудит коду моста.
Крім того, AFX звернулася до хакера з пропозицією укласти угоду за моделлю white hat bounty. Протокол запропонував повернути 70% викрадених коштів на вказану адресу, дозволивши залишити 30% як винагороду.
У компанії наголосили, що головним пріоритетом залишається максимальне повернення активів користувачів. Для цього AFX продовжує співпрацювати з компаніями у сфері кібербезпеки, партнерами екосистеми, криптобіржами та правоохоронними органами, які допомагають відстежувати переміщення викрадених коштів.
