Атака на кроссчейн-мост WAX: 5 транзакций вывели около $75 тыс.; на момент раскрытия уязвимость всё ещё не была устранена
$WAXP Сразу к выводу: это типичная атака на кроссчейн-мост по схеме «исходная сеть лжёт, целевая исполняет без проверки». Ущерб невелик, но устройство уязвимости стоит запомнить.
1. Хронология. В 09:06 (UTC) атакующий создал аккаунт fasdfas.al в WAX; в 09:46 вывел 52 986,50 USDC в обёрнутой версии; в 09:47 таким же способом вывел обёрнутые USDT, DAI, WETH и WBTC. В 10:00 (UTC) в сети Solana по инструкции было выпущено 52 986,50 USDC; в 10:05 (UTC) сеть Ethereum выпустила соответствующие активы.
2. Состав суммы. В пяти транзакциях было выведено в общей сложности 52 986 USDC, 21 558 USDT, 840 DAI, 2,55 WETH и 0,11 WBTC. Изначальная оценка Blockaid составляла около $75 тыс.; согласно обновлению TokenPost от 23 октября, ущерб оценивается примерно в $90 тыс.
3. Причина. Проблема была не на стороне получения. По анализу Blockaid, контракты в Solana и Ethereum «правильно» исполняли полученную информацию. Ошибка была в учёте на стороне WAX: атакующий не оплатил соответствующие активы в сети WAX, однако мост признал вывод легитимным. Разница между данными учёта WAX и фактическими резервами составляет около $1 522.
4. Текущий статус. На момент раскрытия Blockaid классифицировала этот инцидент как ongoing exploit — продолжающуюся эксплуатацию уязвимости. В сообщениях, опубликованных утром 23 октября, говорилось, что уязвимость всё ещё не устранена и размер ущерба может продолжать расти.
Моё мнение: поверхность атаки кроссчейн-мостов часто связана не с логикой проверки в целевой сети, а с надёжностью данных, сообщаемых исходной сетью. Пользователям, у которых активы находятся в мосту, остаётся лишь пассивно ждать объявления об устранении уязвимости.
#WAX #БезопасностьКроссчейнМостов
Это лишь личное мнение, не инвестиционная рекомендация