Куда «уплыли» пять тысяч эфиров? Хакеры устроили экстренную распродажу чужих криптосбережений

Атака на криптомост Verus-Ethereum быстро превратилась в один из заметных инцидентов недели в DeFi. Средства начали уходить из резервов моста, а специалисты по блокчейн-безопасности уже связывают случившееся с возможной ошибкой в проверке межсетевых сообщений или обходом логики вывода активов.

По данным Blockaid, продолжающаяся атака на мост Verus-Ethereum уже привела к выводу средств примерно на $11,58 млн. Платформа указала адрес предполагаемого злоумышленника 0x5aBb91B9c01A5Ed3aE762d32B236595B459D5777, а похищенные активы, по её данным, оказались на кошельке 0x65Cb8b128Bf6e690761044CCECA422bb239C25F9.

PeckShield сообщил, что из моста вывели 103,6 tBTC, 1625 ETH и 147 000 USDC. Затем атакующий обменял активы на 5402 ETH, что на момент оценки составляло около $11,4 млн. Компания также заметила, что адрес злоумышленника незадолго до атаки получил 1 ETH через Tornado Cash.

GoPlus описала возможную схему атаки иначе. По данным компании, атакующий мог отправить в контракт моста небольшую транзакцию, а затем вызвать функцию, которая запустила пакетный перевод резервных активов на контролируемый кошелёк. Команда допустила, что причиной мог стать изъян в проверке подписей, обход логики вывода средств или проблема с контролем доступа.

Команда Verus сообщила в своём Discord, что сеть Verus остановилась после инцидента. Большинство узлов, создающих блоки, отключились после срабатывания механизмов, связанных с последствиями атаки. Разработчики выясняют, как именно был проведён взлом, и решают, какие шаги предпринять дальше.

Verus работает с 2018 года и позиционируется как блокчейн-протокол с упором на приватность. В сети используется гибридный механизм консенсуса proof-of-power, сочетающий proof-of-work и proof-of-stake. Мост Verus-Ethereum запустили в октябре 2023 года, чтобы пользователи могли переносить и конвертировать активы между Verus и Ethereum.

Таким образом, криптомосты остаются одной из самых хрупких точек DeFi, где даже небольшая ошибка в логике контракта способна быстро превратиться в многомиллионный ущерб и подорвать доверие к целой экосистеме.