Z serwisu Gravity Bridge zniknęło 5,4 mln dolarów – haker przekierował skradzione środki przez Binance

Środki przepływały przez Binance i ChangeNow

Gravity Bridge, protokół służący do przenoszenia tokenów między ekosystemami Ethereum i Cosmos, stracił około 5,4 mln USD w wyniku nowego ataku wykrytego przez firmę Peckshield zajmującą się bezpieczeństwem blockchain. Skradzione aktywa obejmowały około 4,3 mln USD w USD Coin (USDC), 274 ether (ETH) o wartości około 553 000 USD, 434 000 USD w tether (USDT) oraz 14 164 tokenów PAYG o wartości blisko 64 000 USD.

Atakujący nie tracił czasu na przenoszenie łupu. Według oceny Peckshield część łupu została już wyprana za pośrednictwem Changenow, usługi wymiany bez powiernictwa, oraz Binance, największej na świecie giełdy kryptowalut pod względem wolumenu obrotu. W momencie wydania ostrzeżenia sprawca nadal posiadał około 2102 ETH o wartości około 4,23 mln USD, co sugeruje, że większość skradzionych środków pozostała w łańcuchu bloków i potencjalnie można je namierzyć.

Przekierowanie środków przez scentralizowaną giełdę, taką jak Binance, może zmylić ślady poprzez wymieszanie skradzionych monet z legalną płynnością, ale naraża również środki na zamrożenie, jeśli zespół ds. zgodności platformy zareaguje szybko. Usługi wymiany, takie jak ChangeNow, są często wykorzystywane do konwersji aktywów na trudniejsze do wyśledzenia tokeny, zanim trafią one na giełdę.

Czym zajmuje się Gravity Bridge

Gravity Bridge to most międzyłańcuchowy (oprogramowanie, które pozwala użytkownikom przenosić tokeny z jednego łańcucha bloków do drugiego), łączący Ethereum z siecią Cosmos składającą się z interoperacyjnych łańcuchów. Zbudowany w oparciu o Cosmos SDK, działa w modelu „lock-and-mint”. W tym przypadku token jest blokowany w jednym łańcuchu, a jego równoważna reprezentacja jest tworzona w drugim, a następnie spalana i wykupywana, gdy użytkownik ponownie korzysta z mostu.

Zamiast polegać na małym portfelu z wieloma podpisami lub grupie operatorów z uprawnieniami, Gravity Bridge wykorzystuje swój zestaw walidatorów do podpisywania transakcji międzyłańcuchowych, co ma na celu zwiększenie decentralizacji i utrudnienie naruszenia bezpieczeństwa. Architektura ta nie uodporniła mostów na ataki, ponieważ z założenia przechowują one duże pule zablokowanych aktywów, co czyni je jednymi z najbardziej lukratywnych celów w zdecentralizowanych finansach (DeFi). Pojedyncza luka w logice walidacji może odblokować wszystko naraz.

Trudny rok dla mostów międzyłańcuchowych

Incydent z Gravity Bridge ma miejsce w samym środku trudnego okresu dla infrastruktury międzyłańcuchowej, biorąc pod uwagę, że serwis Bitcoin.com News poinformował niedawno, iż ataki na mosty spowodowały utratę ponad 328 milionów dolarów w ośmiu oddzielnych incydentach tylko do połowy maja 2026 roku.

Ten schemat powtarzał się nieustannie przez cały rok. 18 maja atakujący wyciągnęli około 11,5 mln dolarów z mostu Verus-Ethereum, a sprawca sfinansował się przed kradzieżą za pomocą Tornado Cash. Następnie, w kwietniu, podejrzany atak wyciągnął szacunkowo ponad 200 milionów dolarów z Drift Protocol, podczas gdy oddzielne naruszenie bezpieczeństwa spowodowało utratę 116 500 rsETH z adaptera Layerzero

KelpDAO, narażając rynki pożyczkowe na potencjalne złe długi.

Nagromadziły się również mniejsze straty, w tym atak typu flash loan o wartości 2,4 miliona dolarów na most Shibarium. W tym wszystkim powtarzalność wskazuje raczej na problem strukturalny niż na serię pecha. Mosty muszą pogodzić różne modele bezpieczeństwa dwóch łańcuchów, a kod weryfikujący wpłaty i wypłaty wielokrotnie okazywał się najsłabszym ogniwem (czy to poprzez brakujące kontrole walidacyjne, naruszone klucze, czy wady zarządzania).

Przewidywanie przyszłych ruchów

Najpilniejsze pytanie brzmi: ile z ukradzionych 5,4 mln dolarów uda się odzyskać. Ponieważ atakujący nadal dysponuje około 4,23 mln dolarów w ETH, giełdy i firmy analityczne mają szansę na zidentyfikowanie i zamrożenie tych środków, a protokoły coraz częściej wykorzystują presję publiczną i komunikaty w łańcuchu bloków do negocjowania zwrotu środków. Na przykład haker z Verus ostatecznie zwrócił 8,5 mln dolarów, zatrzymując 2,8 mln dolarów nagrody w ramach umowy o odzyskaniu środków.

Na razie użytkownicy Gravity Bridge będą czekać na oficjalny raport z incydentu, szczegółowo opisujący przyczynę i plan zwrotu środków poszkodowanym deponentom. Dopóki mosty nie rozwiążą pojawiających się słabości walidacji, najważniejsze łączniki gospodarki wielołańcuchowej prawdopodobnie pozostaną najczęściej okradanymi.