WAX kross-zanjir ko‘prigiga hujum: 5 ta tranzaksiya orqali qariyb 75 ming dollar olib chiqildi, zaiflik oshkor qilinganida ham tuzatilmagan
$WAXP Xulosani avval aytib qo‘yay: bu «manba zanjiri yolg‘on gapiradi, maqsadli zanjir esa aytilganini so‘zsiz bajaradi» turidagi kross-zanjir ko‘prigiga xos hujum. Yo‘qotish katta emas, ammo zaiflikning tuzilishini eslab qolishga arziydi.
1. Voqealar ketma-ketligi. Hujumchi 09:06 da (UTC) WAX’da fasdfas.al hisobini ochdi; 09:46 da 52,986.50 ta tokenlashtirilgan USDC’ni yechib oldi; 09:47 da xuddi shu usulda tokenlashtirilgan USDT, DAI, WETH va WBTC’ni yechib oldi. 10:00 da (UTC) Solana tomoni ko‘rsatmaga muvofiq 52,986.50 USDC chiqardi; 10:05 da (UTC) Ethereum tomoni tegishli aktivlarni chiqardi.
2. Mablag‘lar tarkibi. 5 ta tranzaksiya jami 52,986 USDC, 21,558 USDT, 840 DAI, 2.55 WETH va 0.11 WBTC’ni tashkil etdi. Blockaid dastlab zarar miqdorini qariyb 75 ming dollar deb baholadi; TokenPost’ning 23-oktabrdagi yangilangan bahosi esa qariyb 90 ming dollarni tashkil etdi.
3. Asosiy sabab. Muammo aktivlarni qabul qiluvchi tomonda emas. Blockaid tahliliga ko‘ra, Solana va Ethereum tomonlaridagi kontraktlar olingan ma’lumotga «to‘g‘ri» amal qilgan, xato esa WAX tomonidagi hisob-kitob qaydlarida bo‘lgan: hujumchi WAX tomonida tegishli aktivlarni to‘lamagan, ammo ko‘prik yechib olishni qonuniy deb topgan. WAX tomonidagi hisob-kitob qaydlari bilan haqiqiy zaxira o‘rtasidagi tafovut taxminan 1,522 dollarni tashkil etgan.
4. Joriy holat. Blockaid bu hodisani oshkor qilgan paytda uni davom etayotgan ekspluatatsiya deb baholagan; 23-oktabr kuni ertalab e’lon qilingan kuzatuv xabarida zaiflik hali ham tuzatilmagani, zarar miqdori esa ortishda davom etishi mumkinligi aytilgan.
Mening fikrimcha: kross-zanjir ko‘priklariga hujum qilish imkoniyati ko‘pincha maqsadli zanjirdagi tekshiruv mantiqida emas, balki manba zanjirida berilgan ma’lumotlarning ishonchliligida bo‘ladi. Ko‘prikdagi aktivlarni ushlab turgan foydalanuvchilar tuzatish haqida e’lon chiqmaguncha faqat kutishga majbur.
#WAX #跨链桥安全
Faqat shaxsiy fikr, investitsiya tavsiyasi emas