CrossCurve bestätigt Brückenangriff mit ungefähr $3 Millionen abgezogen
Das Cross-Chain-Liquiditätsprotokoll CrossCurve, früher bekannt als EYWA, hat bestätigt, dass seine Brückeninfrastruktur unter aktivem Angriff steht, nachdem eine Schwachstelle im Smart Contract für ungefähr $3 Millionen über mehrere Netzwerke ausgenutzt wurde.
„Unsere Brücke wird derzeit angegriffen, wobei eine Schwachstelle in einem der verwendeten Smart Contracts ausgenutzt wird“, sagte das Projekt auf X und forderte die Benutzer auf, alle Interaktionen mit CrossCurve auszusetzen, während die Untersuchung fortgesetzt wird.
Laut dem Blockchain-Sicherheitsmonitor Defimon Alerts war die Hauptursache eine fehlende Validierungsprüfung im ReceiverAxelar-Vertrag. Der Fehler ermöglichte es Angreifern, Cross-Chain-Nachrichten zu fälschen und die Funktion expressExecute aufzurufen, wodurch die Gateway-Überprüfung umgangen und unbefugte Token-Freigaben aus dem PortalV2-Vertrag des Protokolls ausgelöst wurden.
Der Vorfall hat Vergleiche mit dem Nomad-Brückenexploit von 2022 gezogen, der zu einem Verlust von etwa $190 Millionen führte, nachdem Hunderte von Wallets am Abzug von Geldern beteiligt waren. Sicherheitsexperte Taylor Monahan stellte die Ähnlichkeit fest und äußerte Bedenken, dass solche Schwachstellen auch Jahre später weiterhin auftreten.
On-Chain-Daten zeigen, dass das Guthaben des PortalV2-Vertrags von ungefähr $3 Millionen auf nahezu null um den 31. Januar gefallen ist, wobei der Exploit mehrere Netzwerke betroffen hat.
CrossCurve betreibt eine dezentrale Cross-Chain-Börse und eine sogenannte „Konsensbrücke“, die in Partnerschaft mit Curve Finance entwickelt wurde. Das System leitet Transaktionen durch mehrere unabhängige Validierungsnetzwerke — einschließlich Axelar, LayerZero und EYWA’s eigenes Orakelnetzwerk — in dem Bestreben, Einzelpunkte des Ausfalls zu reduzieren.
Das Projekt hatte zuvor seine Sicherheitsarchitektur als eine der Hauptstärken hervorgehoben und erklärt, dass die Wahrscheinlichkeit, dass mehrere Cross-Chain-Protokolle gleichzeitig gehackt werden, „nahe null“ sei. Der Gründer von Curve Finance, Michael Egorov, investierte im September 2023 in das Protokoll, und das Team gab an, dass es $7 Millionen von Risikokapitalfirmen gesammelt hat.
