Зловмисник вивів криптовалюту на суму 10 мільйонів доларів із Poly Network — що відбулося

Огляд атаки

Досвідчений хакер успішно використав уразливість інфраструктури Poly Network і вивів майже 10 мільйонів доларів США в ETH, згідно з аналізом компанії Beosin. Цей інцидент є серйозним порушенням безпеки для екосистеми децентралізованих фінансів (DeFi).

Poly Network — це кросчейн-бридж, що забезпечує перенесення активів між різними блокчейн-мережами. На початку липня компанія офіційно підтвердила, що стала жертвою експлойту DeFi. Ця атака особливо небезпечна, оскільки хакер зумів емісувати 34 мільярди доларів США у вигляді криптовалютних токенів на декількох блокчейн-мережах.

Одразу після виявлення злому команда Poly Network тимчасово призупинила всі сервіси, щоб запобігти подальшому використанню уразливості та захистити активи користувачів від додаткових ризиків.

Технічна команда DeFi-мережі повідомила, що хакер отримав можливість емісувати 57 різних токенів на 10 блокчейн-мережах, серед яких Ethereum, Metis, Polygon, Avalanche, Heco та інші ключові блокчейн-інфраструктури. Ця багатомережна атака засвідчила складність інциденту та виявила уразливості кросчейн-бриджів.

Після злому на гаманці хакера знаходилося понад 42 мільярди доларів США у токенах. Попри таку значну теоретичну суму, зловмисник не зміг перетворити штучно емісовані активи на ліквідні кошти через недостатню ліквідність на децентралізованих біржах і заходи безпеки, запроваджені постраждалими мережами та торговими платформами.

Причини злому

Аналіз експертів Beosin і Dedaub показав, що порушення безпеки Poly Network ймовірно виникло через крадіжку приватних ключів, які використовуються у головному смарт-контракті платформи. Це є ключовим висновком щодо вектору атаки.

Фахівці з безпеки уточнили, що експлойт не був спричинений уразливістю логіки або коду контракту. Вектор атаки полягав у компрометації криптографічних ключів, які керують основними операціями мережі.

Розслідування показали, що приватні ключі трьох із чотирьох адміністраторських гаманців, які керують головним смарт-контрактом, були скомпрометовані. Адміністраторські гаманці забезпечують контроль над критичними операціями мережі, і їх компрометація фактично надала зловмиснику повний доступ до протоколу. Такий тип атаки особливо небезпечний, оскільки дозволяє обійти механізми безпеки смарт-контракту через використання легітимних облікових даних.

Приватні ключі — це основний механізм автентифікації у блокчейн-системах. Якщо ключі скомпрометовано, зловмисник може проводити транзакції як адміністратор. Тому захист приватних ключів критично важливий для будь-якого блокчейн-протоколу, особливо для тих, що працюють з кросчейн-перенесенням активів.

Станом на час підготовки матеріалу команда Poly Network не надала офіційного підтвердження щодо компрометації приватних ключів. Відсутність докладної інформації може бути пов’язана з поточним розслідуванням або ризиком розкриття додаткових уразливостей.

Команда DeFi-мережі повідомила про активну співпрацю з централізованими біржами й правоохоронними органами з метою ідентифікації зловмисника та повернення викрадених коштів. Такий підхід поєднує технічний аналіз і юридичні дії, підкреслюючи серйозність інциденту.

У відповідь на атаку CEO провідної біржі запевнив клієнтів, що інцидент не вплинув на користувачів їхньої платформи. Біржа не підтримує депозити з скомпрометованої мережі, що ізолює її користувачів від наслідків експлойту. Це допомогло стабілізувати ринок і показало важливість безпекових протоколів на великих торгових платформах.

Команда Poly Network надала термінові рекомендації постраждалим проєктам — вивести ліквідність із децентралізованих бірж, а користувачам, які володіють відповідними активами, — розблокувати їх і забрати токени ліквідності, пов’язані з цими криптоактивами. Ці заходи спрямовані на мінімізацію потенційних збитків та недопущення доступу зловмисника до додаткової ліквідності.

Також команда звернулася до хакерів із закликом добровільно повернути викрадені кошти, щоб уникнути можливих юридичних наслідків. Така практика іноді спрацьовує у криптовалютній сфері, коли частина зловмисників повертає кошти після експлойтів.

Другий масштабний експлойт Poly Network

Ця атака стала другим значним порушенням безпеки, яке пережила Poly Network за останні роки, що ставить під сумнів надійність її інфраструктури та протоколів безпеки.

У серпні 2021 року група хакерів скористалася уразливістю мережі Poly Network і викрала майже 611 мільйонів доларів США у криптовалютах, що стало одним із найбільших пограбувань у криптоіндустрії. Інцидент сколихнув спільноту DeFi і наголосив на ризиках, притаманних протоколам кросчейн-бриджів, які все частіше стають об’єктами складних атак.

У 2021 році хакери повернули майже всі викрадені активи протягом двох днів після злому — це було безпрецедентним для сфери криптовалютної безпеки. Такий добровільний повернення коштів спричинив спекуляції щодо мотивів хакерів — чи це були білі хакери, які виявляли уразливості, чи вони зіткнулися з труднощами під час відмивання великої суми криптовалюти.

За даними звітів, експлойт 2021 року стався через ймовірний витік приватного ключа, який використовувався для підпису кросчейн-повідомлень. Це свідчить про хронічні проблеми із захистом приватних ключів у системі Poly Network. Обидва масштабні експлойти були наслідком компрометації приватних ключів, що свідчить про системну проблему, яка виходить за межі простих багів у коді.

Повторення серйозних атак на одній і тій самій платформі ставить питання щодо фундаментальної архітектури безпеки кросчейн-бриджів. Такі протоколи, необхідні для взаємозв’язку блокчейн-мереж, мають унікальні виклики, оскільки їм потрібно забезпечувати безпеку одночасно на багатьох мережах. Кожне нове блокчейн-з’єднання збільшує площу для атак і створює нові вектори експлойтів.

Ця закономірність експлойтів підкреслює постійну боротьбу між дослідниками безпеки та зловмисниками у DeFi. Протоколи впроваджують нові захисні механізми, а хакери розробляють нові методи обходу. Криптоіндустрія продовжує вирішувати ці проблеми, вдосконалюючи моделі безпеки.

FAQ

Що таке Poly Network і чому вона стала мішенню для хакерів?

Poly Network — це кросчейн-трейдингова платформа для перенесення активів між різними блокчейнами. У 2021 році вона стала об’єктом атаки через уразливості у смарт-контрактах, що призвело до втрати 610 мільйонів доларів США. Недоліки в конструкції контракту відкрили критичні слабкі місця у системі кросчейн-транзакцій.

Як хакер викрав 10 мільйонів доларів США у криптовалюті під час цієї атаки? Які технічні методи були використані?

Зловмисник використав викрадені адміністраторські ключі для доступу до резервів Poly Network, а потім перевів кошти через Ethereum та кілька кросчейн-бриджів, що дозволило швидко переміщати й розпорошувати активи між мережами.

Чи безпечні мої кошти на Poly Network? Чи постраждають мої активи?

Poly Network зазнала серйозного порушення безпеки. Постраждалим користувачам слід негайно перевірити свої акаунти. Протокол уже впровадив посилені заходи безпеки й компенсував постраждалих користувачів. Перевіряйте офіційні канали для отримання деталей щодо відновлення.

Які ризики безпеки існують у протоколах кросчейн-бриджів? Як користувачі можуть захистити свої кошти?

Кросчейн-бриджі мають уразливості смарт-контрактів, ризики атак на валідаторів і ліквідності. Користувачам слід обирати аудійовані протоколи, перевіряти адреси контрактів, надійно зберігати приватні ключі і уникати перенесення великих сум за один раз для мінімізації ризиків.

Які схожі випадки з безпекою були на криптобіржах та кросчейн-платформах? Як їх уникнути?

Серед резонансних інцидентів: злом Mt.Gox, інцидент Bitfinex та компрометація акаунтів Binance. Для запобігання: користуйтеся біржами з надійними протоколами безпеки, активуйте двофакторну автентифікацію, обирайте регульовані платформи, зберігайте активи на холодних гаманцях, слідкуйте за оновленнями безпеки та розглядайте децентралізовані біржі для кращого контролю над активами.

Якою була офіційна реакція Poly Network на інцидент? Чи передбачена компенсація?

Poly Network офіційно взяла на себе зобов’язання компенсувати постраждалих користувачів. Платформа повернула викрадені активи та завершила процес компенсації для жертв атаки.