Краткое описание

1. Платформа стейкинга Bitcoin b14g потеряла 97 миллионов CORE, что, по оценкам компании Bitquery, составляет 1,47 миллиона долларов. Это произошло в результате эксплуатации уязвимости, связанной с запросами на вывод токенов нулевой стоимости.
2. Злоумышленник опустошил 91 позицию для стейкинга в одной транзакции, используя логику контракта, которая, как сообщается, существовала в течение 17 месяцев.
3. По состоянию на 31 октября, около 68 миллионов CORE оставались на трех кошельках, в то время как компания b14g сообщила, что партнеры-биржи заморозили около 9 миллионов CORE.

Платформа стейкинга Bitcoin b14g подверглась атаке, в результате которой было потеряно около 1,47 миллиона долларов, что соответствует примерно 97 миллионам токенов CORE.

По данным расследования, проведенного компанией Bitquery, занимающейся анализом блокчейна, злоумышленник осуществил вывод средств, отправив 91 запрос на вывод токенов CORE нулевой стоимости.

Платформа стейкинга подтвердила факт несанкционированных вывода средств и сообщила о приостановке работы затронутых контрактов, а также о координации действий с командой Core, партнерами по безопасности и биржами для возврата средств.

Однако компания b14g уточнила, что нарушение безопасности затронуло только депозиты CORE. Bitcoin, размещенный через этот протокол, остается заблокированным в блокчейне BTC и не пострадал.

Как хакеры использовали механизм вывода средств на b14g

Расследование, проведенное компанией Bitquery, показало, что злоумышленник использовал уязвимость во взаимодействии между механизмом вывода средств на b14g и контрактами стейкинга Core.

В нормальных условиях платформа b14g позволяет владельцам Bitcoin объединять свои BTC с депозитами CORE для получения более высоких вознаграждений за стейкинг. Протокол управляет этими операциями с помощью позиций для стейкинга, которые содержат CORE и делегируют их валидаторам.

Однако в контракте стейкинга Core содержится необычное условие, которое интерпретирует запрос на вывод токенов нулевой стоимости как инструкцию к выводу всего застейканного баланса.

Злоумышленник воспользовался этим, отправив 99 запросов на вывод токенов CORE нулевой стоимости для позиций стейкинга, которые он не финансировал.

Вместо отклонения несанкционированных запросов, контракт b14g принял их и передал инструкции системе стейкинга Core, которая высвободила около 97 миллионов токенов.

Компания Bitquery сообщила, что атака произошла в 09:29 UTC, и украденные токены были переведены на контролируемый злоумышленником кошелек.

В ходе расследования не было обнаружено никаких доказательств того, что злоумышленнику требовался скомпрометированный ключ администратора или новый вредоносный контракт. Вместо этого, как сообщается, основная логика контракта существовала в течение примерно 17 месяцев.

Однако, компания Bitquery предупредила, что не проводила анализ исходного кода платформы b14g и не смогла точно определить программную ошибку, которая позволила совершить несанкционированные транзакции.

Тем временем, записи блокчейна показали, что платформа b14g приостановила работу затронутых контрактов только в 10:35 по всемирному координированному времени (UTC), примерно через 66 минут после начала атаки.

В течение этого периода, злоумышленник перевел 23 миллиона CORE из исходного кошелька через несколько недавно созданных адресов.

Временная шкала не позволяет установить, когда компания b14g обнаружила факт взлома, хотя платформа заявила, что приостановила работу контрактов сразу после выявления инцидента.

Дальнейший анализ показал, что часть украденных средств прошла через промежуточные адреса, связанные с инфраструктурой бирж Bybit, Gate.io и MEXC.

Компания Bitquery также выявила сервис, который оплатил первоначальные комиссии за транзакцию злоумышленника, а затем получил около 11 миллионов CORE из украденных средств и перевел их на депозитный адрес MEXC.

Однако, аналитическая компания предупредила, что некоторые промежуточные кошельки также содержали активы других клиентов, что затрудняет однозначное приписывание каждой последующей транзакции злоумышленнику.

К вечеру 31 октября, около 68 миллионов CORE, что составляет 70% украденных токенов, оставались на трех кошельках без изменений.

Отдельно, компания b14g сообщила, что партнеры-биржи заморозили около 9 миллионов CORE, связанных со злоумышленником.

В своем ответе, Core DAO заявила, что основная блокчейн-сеть не была скомпрометирована, подчеркнув, что ее механизм консенсуса, валидаторы и контракты для стейкинга продолжали работать в штатном режиме на протяжении всего инцидента.

Также было заявлено, что CORE, размещенные непосредственно у валидаторов или через другие протоколы, не пострадали.

Компания b14g пообещала опубликовать подробный отчет о произошедшем, объясняющий техническую причину взлома, масштабы потерь пользователей и дальнейшие шаги для пострадавших вкладчиков. План компенсаций пока не был объявлен.