Automatyczny animator rynku oparty na Solanie, Aquifer, stracił około 2,5 miliona dolarów w wyniku exploitacji obejmującej portfele na Solanie i Ethereum, a protokół zaoferował atakującemu 20% nagrody za zwrot większości środków.
Podsumowanie
- AMM Aquifer oparty na Solanie stracił około 2,5 miliona dolarów w wyniku exploitacji obejmującej adresy atakującego na Solanie i Ethereum.
- Aquifer zaoferował atakującemu 20% nagrody whitehat, jeśli co najmniej 80% aktywów zostanie zwrócone do 3 września.
- Dokładny punkt kompromitacji pozostaje niejasny, a żadna techniczna analiza pośmiertna nie ustaliła jeszcze, w jaki sposób uzyskano dostęp do dotkniętych portfeli.
- Dostępne informacje nie potwierdzają, że inteligentne kontrakty Aquifer zostały wykorzystane, co czyni skompromitowany dostęp do portfela głównym celem incydentu jak dotąd.
Usługa monitorowania bezpieczeństwa blockchain Defimon zgłosiła atak 31 sierpnia, identyfikując osobne adresy na Solanie i Ethereum kontrolowane przez podejrzanego exploitanta. Aquifer później wysłał ofertę whitehat w łańcuchu, żądając zwrotu co najmniej 80% aktywów związanych z incydentem.
Oferta daje atakującemu czas do 3 września do 14:00 UTC na przelanie aktywów lub ich równowartości na adresy odzyskiwania podane przez Aquifer. Osoba kontrolująca portfele może zatrzymać do 20% środków jako nagrodę whitehat, jeśli warunki zostaną spełnione.
Aquifer oświadczył, że nie będzie dochodzić roszczeń cywilnych wynikających z exploitacji, jeśli atakujący zastosuje się do warunków, z zastrzeżeniem obowiązującego prawa. Umowa nie będzie wiążąca dla organów ścigania, regulatorów, organów sankcyjnych ani innych organów rządowych.
Exploit Aquifer obejmuje portfele na dwóch łańcuchach
Aquifer działa jako autorski automatyczny animator rynku na Solanie, gdzie jego płynność jest wykorzystywana do ułatwiania wymiany tokenów. DefiLlama opisuje protokół jako prop AMM i obecnie podaje jego całkowitą wartość zablokowaną na około 2,8 miliona dolarów.
Adresy zidentyfikowane po exploitacji wykazują aktywność obejmującą Solanę i Ethereum. Defimon powiązał adres Solana 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J i adres Ethereum 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 z atakującym.
Wiadomość whitehat od Aquifer została autoryzowana przez autorytet ulepszeń protokołu na Solanie i opublikowana w łańcuchu. Projekt dostarczył osobne adresy odzyskiwania dla Solany i Ethereum, umożliwiając zwrot aktywów związanych z atakiem w dowolnej sieci.
Publiczne informacje nie ustaliły jeszcze dokładnie, w jaki sposób portfele zostały skompromitowane. Nie opublikowano żadnej technicznej analizy pośmiertnej wyjaśniającej, czy klucze prywatne, poświadczenia administratora lub inna część infrastruktury operacyjnej Aquifer została ujawniona.
Dostępne informacje podobnie nie potwierdzają, że kod inteligentnego kontraktu Aquifer został wykorzystany. Użycie adresów w Ethereum i Solanie stanowi ślad dla badaczy śledzących aktywa, ale samo w sobie nie identyfikuje, w jaki sposób uzyskano dostęp do dotkniętych środków.
Incydent następuje po kilku atakach związanych z Solaną w tym roku, w których punkt kompromitacji znajdował się poza bazowym blockchainem.
Protokoły Solany spotkały się z różnymi metodami ataków
W czerwcu crypto.news wcześniej informowało, że pięć starszych pul płynności należących do Raydium straciło około 1,3 miliona dolarów po tym, jak atakujący zaatakował wycofaną infrastrukturę AMM.
Badacz łańcucha Specter powiedział, że atakujący Raydium użył fałszywego adresu mennicy, aby ominąć kontrole walidacji w starszym programie AMM. Skradzione aktywa obejmowały około 150 177 RAY, 5 603 SOL i 893 700 USDC.
Raydium poinformował, że jego aktywne pule i obecni użytkownicy nie zostali dotknięci, ponieważ podatna na ataki infrastruktura została już wycofana. Protokół zobowiązał się do zwrotu dotkniętych aktywów ze swojego skarbca.
Osobny incydent z lipca dotyczący Across Protocol spowodował straty mniejsze niż 4 miliony dolarów po tym, jak atakujący sfałszował zdarzenia depozytów na Solanie. Atakujący utworzył 1627 fałszywych depozytów o łącznej deklarowanej wartości 41,7 miliona dolarów i zażądał wypłat na 18 łańcuchach docelowych.
Relayer Risk Labs przetworzył 581 fałszywych żądań przed zawieszeniem operacji na Solanie, wypłacając około 4,5 miliona dolarów własnego kapitału. Około 500 000 dolarów należących do atakującego pozostało zablokowane, co zmniejszyło stratę netto do mniej niż 4 milionów dolarów.
Across później poinformował, że atak na Solanę wynikał z błędu w oprogramowaniu Risk Labs do odczytu zdarzeń poza łańcuchem, a nie z podatności w jego inteligentnych kontraktach ani w sieci Solana. Legalne transfery użytkowników zostały zakończone lub zwrócone.
Błędy w bezpieczeństwie operacyjnym spowodowały straty gdzie indziej, bez konieczności wykorzystywania przez atakujących logiki inteligentnych kontraktów.
Dostęp do portfela stał się główną drogą ataków
Firma płatnicza stablecoinów Triple-A potwierdziła w lipcu, że nieautoryzowany dostęp do jej portfeli skarbowych doprowadził do kradzieży aktywów cyfrowych należących do firmy. Badacze on-chain początkowo śledzili podejrzane wypłaty na Ethereum, Solanie, TRON i TON, a niektóre raporty identyfikowały aktywność na Polygon i Arbitrum.
Triple-A później poinformowała, że środki klientów pozostały nietknięte, ponieważ aktywa klientów były oddzielone od naruszonej infrastruktury skarbowej. Badacze oszacowali straty na około 11,8 miliona dolarów przed potwierdzeniem naruszenia przez firmę.
Firma nie ujawniła, czy atakujący uzyskał klucze prywatne, poświadczenia czy inną formę dostępu. Triple-A poinformowała, że specjaliści ds. cyberbezpieczeństwa i policja singapurska pracują nad dochodzeniem i śledzeniem aktywów.
Kompromitacje kluczy prywatnych i portfeli stanowiły znaczną część kradzieży kryptowalut w 2026 roku. CertiK poinformował w lipcu, że straty w aktywach cyfrowych osiągnęły 1,32 miliarda dolarów w pierwszej połowie roku, co oznacza spadek o 46,8% w porównaniu z tym samym okresem w 2025 roku.
Pomimo niższej sumy, firma ochroniarska stwierdziła, że kompromitacje portfeli stały się największą metodą ataków w drugim kwartale, zastępując phishing jako główne źródło strat.
Inny projekt Solany, Step Finance, ostatecznie zakończył działalność po ataku na początku tego roku, który wymierzony był w urządzenia używane przez członków zespołu wykonawczego. Atakujący uzyskali dostęp do portfeli skarbowych i opłat i przenieśli około 261 854 SOL, a późniejsze szacunki umieściły całkowite straty w dotkniętych aktywach na około 40 milionów dolarów.
Śledczy ustalili, że inteligentne kontrakty Step Finance nie były punktem wejścia. Naruszone punkty końcowe umożliwiły atakującym dostęp do portfeli używanych przez projekt, a szkody finansowe później przyczyniły się do decyzji o zamknięciu platformy.
Podobne rozróżnienie będzie zależeć od tego, czy Aquifer opublikuje więcej szczegółów na temat własnego naruszenia. Protokół nie opublikował analizy pośmiertnej identyfikującej początkowy punkt dostępu, konkretne poświadczenia, których użyto, ani czy jedno naruszone konto zapewniło kontrolę nad wieloma portfelami.
Na razie proces odzyskiwania Aquifer koncentruje się na propozycji whitehat. Atakującemu zaoferowano prawo do zatrzymania do 20% aktywów związanych z exploit, jeśli co najmniej 80% zostanie zwrócone na wyznaczone adresy odzyskiwania do 3 września o 14:00 UTC.
