53 секунды и $1,4 млн как не бывало. Что нужно знать о взломе децентрализованной биржи Ekubo

Децентрализованная биржа Ekubo, построенная на платформе Starknet, потеряла около $1,4 млн в биткоинах всего за 53 секунды. Хакер провёл 85 транзакций подряд и постепенно вывел 17 WBTC небольшими частями. Взлом не затронул основную инфраструктуру проекта, но показал, насколько опасными остаются старые разрешения на доступ к криптокошелькам.

Команда Ekubo сообщила о продолжающемся инциденте безопасности в маршрутизаторе обмена для сетей на базе виртуальной машины Ethereum. Разработчики уточнили, что поставщики ликвидности не пострадали, а сеть Starknet продолжает работать в штатном режиме. Пользователей попросили срочно отозвать ранее выданные разрешения для нескольких адресов контрактов в сетях Ethereum и Arbitrum.

Причиной атаки стала ошибка проверки плательщика в пользовательском расширении маршрутизатора V2. Хакер использовал механизм обратных вызовов и бесконечное разрешение на доступ к WBTC, которое владелец кошелька ранее выдал контракту. Вместо одной крупной операции злоумышленник списывал по 0,2 WBTC за транзакцию, пока не вывел все средства.

Специалисты по безопасности отмечают, что подобные атаки становятся всё более распространёнными. В большинстве случаев злоумышленникам уже не нужны сложные уязвимости нулевого дня. Достаточно найти забытое разрешение на доступ к токенам, выданное старому или уязвимому контракту.

Инцидент также показал риски, связанные с переносом проектов из Starknet в экосистему Ethereum. Основная сеть Starknet не пострадала, однако расширение для виртуальной машины Ethereum унаследовало типичные проблемы экосистемы EVM, включая злоупотребление обратными вызовами и атаки через разрешения.

Чтобы скрыть следы, хакер задействовал сервис RAILGUN, затем быстро развернул вредоносный контракт, обменял активы через Velora и вывел средства через Tornado Cash. Такая схема позволяет максимально быстро отмывать криптовалюту и усложняет отслеживание украденных средств.

По данным сообщества CoinXtreme, только за апрель потери от атак на проекты децентрализованных финансов превысили $600 млн. На фоне крупных взломов случай с Ekubo выглядит сравнительно небольшим, однако специалисты называют подобные атаки особенно опасными из-за простоты реализации и высокой эффективности.