Chainflip втратив 736 442,17 USDT через шість несанкціонованих виплат після того, як зловмисник скористався обробкою меморандумів транзакцій TRON.
Підсумок
- Chainflip повідомив про втрату 736 442,17 USDT через шість несанкціонованих виплат, пов'язаних з експлуатацією його інтеграції з TRON.
- Зловмисники повторили той самий депозит вісім разів протягом приблизно дев'яноста хвилин, використовуючи змінені меморандуми транзакцій.
- Один незавершений обмін на суму 115 654,41 USDT залишається несплаченим, а його кошти залишаються у сховищі Chainflip.
- Chainflip завершив розробку виправлення, але заявив, що операції залишатимуться призупиненими щонайменше до понеділка.
- Протокол пообіцяв компенсацію, хоча його остаточний метод відшкодування та технічний звіт залишаються публічно неопублікованими.
Chainflip повідомив в оновленні про інцидент від 13 вересня, що атака була націлена на його інтеграцію TRON USDT у ранні години 12 вересня. Крос-чейн протокол призупинив операції, поки його розробники досліджували транзакції та готували виправлення.
Один легітимний обмін користувача на суму 115 654,41 USDT залишається несплаченим. Chainflip заявив, що кошти все ще зберігаються в його сховищі та можуть бути вивільнені після перезапуску мережі. Протокол повідомив, що інші кошти не постраждали.
Сума втрат і послідовність атаки відображають поточні висновки Chainflip. Станом на 13 вересня не було опубліковано жодної незалежної оцінки безпеки, яка б підтверджувала повний звіт.
Інтеграція TRON USDT від Chainflip виплачувала депозити двічі
Chainflip використовує меморандуми транзакцій для зчитування інструкцій обміну, прикріплених до переказів TRON. На більшості інших підтримуваних блокчейнів протокол отримує інструкції через спеціальні функції контракту.
Згідно зі звітом про інцидент, зловмисник знайшов спосіб прикріпити новий меморандум до транзакції, яку валідатори Chainflip вже підписали. Системи Chainflip інтерпретували доданий меморандум як окрему інструкцію обміну. Коли нова інструкція, здавалося, зазнала невдачі, протокол випустив повернення коштів.
Початковий депозит уже призвів до виплати. Тому обробка зміненого меморандуму змусила Chainflip виплатити за тим самим депозитом вдруге.
Chainflip приписав недолік власній обробці меморандумів транзакцій TRON. Протокол не повідомляв про компрометацію блокчейну TRON, смарт-контракту USDT або системи резервів Tether.
Зловмисник повторив цей метод вісім разів протягом приблизно 90 хвилин. Chainflip заявив, що ранні спроби використовували невеликі суми. Кожна наступна спроба була майже вдвічі більшою за попередню.
Лише шість спроб призвели до несанкціонованих виплат на загальну суму 736 442,17 USDT. Протокол не опублікував окремі хеші транзакцій, адреси гаманців призначення або розбивку шести платежів у своєму попередньому звіті.
Невдалі виплати USDT викрили атаку
Chainflip виявив інцидент після того, як наступні виплати USDT почали зазнавати невдачі. Потім розробники простежили невдачі до повторної обробки депозитів через змінені меморандуми.
Протокол призупинив активність мережі, досліджуючи, чи може ця вразливість вплинути на інші активи або інтеграції. Його попередній огляд виявив, що експлуатація була обмежена TRON USDT і що решта коштів у сховищі захищені.
Chainflip описав цей інцидент як свою першу критичну подію безпеки, пов'язану з викраденням коштів зі сховищ протоколу. За словами проєкту, попередні операційні проблеми не спричиняли порівнянних втрат із цих сховищ.
Пауза мережі перешкоджає завершенню обмінів, поки розробники готують перезапуск. Chainflip не повідомляв про окремі втрати для користувачів, чиї транзакції були перервані зупинкою.
Інші блокчейн-сервіси використовували екстрені зупинки, поки розробники ізолювали збої безпеки. У супутньому матеріалі crypto.news повідомляв, що Liquid Network відновила виробництво блоків після екстреного оновлення, тоді як перекази та операції прив'язки залишалися обмеженими після повідомлення про виведення 320 мільйонів доларів.
Chainflip не виявив зв'язку між двома інцидентами. Звіт Liquid Network стосується окремого сайдчейну Bitcoin та іншої технічної системи.
Chainflip готує відшкодування та відновлення активів
Chainflip заявив, що постраждалі користувачі отримають повну компенсацію, хоча протокол не обрав і не опублікував свій метод відшкодування до 13 вересня. Команда повідомила, що кілька варіантів залишаються на розгляді. Несплачена транзакція на 115 654,41 USDT не враховується серед шести несанкціонованих виплат. Її кошти залишаються в сховищі, і Chainflip очікує обробити своп після відновлення роботи.
Тим часом протокол повідомив відповідні сторони про викрадені кошти, щоб спробувати відстежити або повернути доходи, коли вони переміщуються між адресами та сервісами. Chainflip не назвав сторони, не розкрив, чи використовував зловмисник централізовані біржі, і не підтвердив, чи було заморожено будь-які USDT.
Tether може заморожувати адреси, що містять її токени, діючи відповідно до застосовних правових або правоохоронних процесів. Як повідомляв crypto.news в окремому матеріалі, Tether допоміг владі США обмежити понад 52 мільйони доларів у криптовалюті під час не пов'язаної з цим акції Міністерства юстиції.
На момент публікації не було виявлено жодної публічної заяви від Tether або TRON щодо атаки на Chainflip. Повідомлення Chainflip не вказувало, чи допомагає якась із цих організацій відстежувати кошти.
Протокол планує почати покриття збитків користувачів після безпечного перезапуску. Його попередня заява не встановлювала дату виплати і не пояснювала, чи надійде компенсація з активів казначейства, страховки чи іншого джерела.
Перезапуск у понеділок залежить від технічного розгортання
Chainflip заявив, що основне виправлення було завершено, але розробникам все ще потрібно було визначити точну процедуру перезапуску. Мережа залишатиметься призупиненою "щонайменше до понеділка", що робить 14 вересня найранішою можливою датою відновлення, а не підтвердженим часом запуску.
Перед повторним відкриттям команда планує завершити технічний план перезапуску, розроблений для уникнення подальших проблем з обробкою. Chainflip не розкрив, чи знадобиться валідаторам нове програмне забезпечення, скоординоване оновлення чи голосування з управління.
Після відновлення системи протокол очікує обробити відкладений своп на 115 654,41 USDT і почати обробку компенсації для користувачів, чиї кошти були виплачені зловмиснику.
Повний технічний звіт буде опубліковано після затвердження плану перезапуску та безпечної роботи мережі, заявив Chainflip. Протокол не оголосив кінцевий термін публікації цього звіту.
