Hacker odcudzil spoločnosti Gravity Bridge 5,4 milióna dolárov, pričom ukradnuté prostriedky presmeroval cez burzu Binance

Finančné prostriedky smerovali cez Binance a ChangeNow

Gravity Bridge, protokol, ktorý presúva tokeny medzi ekosystémami Ethereum a Cosmos, stratil približne 5,4 milióna USD v dôsledku nového útoku, na ktorý upozornila bezpečnostná firma Peckshield. Medzi ukradnuté aktíva patrilo približne 4,3 milióna USD v USD Coin (USDC), 274 etherov (ETH) v hodnote približne 553 000 USD, 434 000 USD v tetheri (USDT) a 14 164 tokenov PAYG v hodnote takmer 64 000 USD.

Útočník neváhal a výnosy rýchlo presunul. Podľa odhadov spoločnosti Peckshield bola časť lupu už vypraná prostredníctvom Changenow, služby na výmenu kryptomien bez úschovy, a Binance, najväčšej kryptomenovej burzy na svete z hľadiska objemu obchodovania. V čase vydania varovania mal útočník stále v držbe približne 2 102 ETH v hodnote asi 4,23 milióna USD, čo naznačuje, že väčšina odcudzených prostriedkov zostala v reťazci a je potenciálne vysledovateľná.

Presmerovanie prostriedkov cez centralizovanú burzu, ako je Binance, môže zmazať stopy zmiešaním ukradnutých mincí s legitímnou likviditou, ale zároveň vystavuje prostriedky riziku zmrazenia, ak tím platformy zodpovedný za dodržiavanie predpisov koná rýchlo. Služby na výmenu, ako je ChangeNow, sa často používajú na konverziu aktív na ťažšie vysledovateľné tokeny, než sa dostanú na burzu.

Čo robí Gravity Bridge

Gravity Bridge je cross-chain bridge (softvér, ktorý umožňuje používateľom presúvať tokeny z jedného blockchainu do druhého), spájajúci Ethereum so sieťou interoperabilných reťazcov Cosmos. Je postavený na Cosmos SDK a funguje na modeli lock-and-mint. Tu je token uzamknutý na jednom reťazci a ekvivalentná reprezentácia je vyrazená na druhom, potom spálená a vykúpená, keď sa používateľ vráti späť.

Namiesto toho, aby sa spoliehal na malú peňaženku s viacerými podpismi alebo na skupinu operátorov s oprávnením, Gravity Bridge používa svoju sadu validátorov na podpisovanie medzi-reťazcových transakcií, čo je dizajn určený na to, aby bol decentralizovanejší a ťažšie kompromitovateľný. Táto architektúra však mosty neochránila pred útokmi, pretože podľa svojho dizajnu držia veľké množstvá uzamknutých aktív, čo z nich robí jedny z najlukratívnejších cieľov v decentralizovanom financovaní (DeFi). Jediná chyba v ich validačnej logike môže odomknúť všetko naraz.

Krutý rok pre medzi-reťazcové mosty

Incident s Gravity Bridge prichádza uprostred náročného obdobia pre medzi-reťazcovú infraštruktúru, keďže Bitcoin.com News nedávno informoval, že zneužitie mostov vyčerpalo viac ako 328 miliónov dolárov v ôsmich samostatných incidentoch len do polovice mája 2026.

Tento trend bol neúprosný po celý rok. 18. mája útočníci odcudzili približne 11,5 milióna dolárov z mosta Verus-Ethereum, pričom páchateľ bol pred krádežou financovaný prostredníctvom Tornado Cash. Následne v apríli podozrivý útok vybral odhadom viac ako 200 miliónov dolárov z protokolu Drift, zatiaľ čo samostatné narušenie bezpečnosti vyprázdnilo 116 500 rsETH z adaptéra Layerzero

spoločnosti KelpDAO, čím vystavilo úverové trhy potenciálnym nedobytným pohľadávkam.

Nahromadili sa aj menšie útoky, vrátane útoku typu flash-loan v hodnote 2,4 milióna dolárov na most Shibarium. Všetko toto poukazuje skôr na štrukturálny problém ako na sériu nešťastných náhod. Mosty musia zosúlaďovať odlišné bezpečnostné modely dvoch reťazcov a kód, ktorý overuje vklady a výbery, sa opakovane ukázal ako najslabší článok (či už prostredníctvom chýbajúcich overovacích kontrol, kompromitovaných kľúčov alebo chýb v správe).

Odhadovanie ďalších krokov

Okamžitou otázkou je, koľko z ukradnutých 5,4 milióna dolárov sa podarí získať späť. Keďže útočník stále disponuje približne 4,23 milióna dolárov v ETH, burzy a analytické firmy majú možnosť označiť a zmraziť tieto prostriedky, a protokoly čoraz častejšie využívajú verejný tlak a správy v reťazci na vyjednávanie o vrátení prostriedkov. Hacker Verus napríklad nakoniec vrátil 8,5 milióna dolárov, pričom si v rámci dohody o vrátení prostriedkov ponechal odmenu 2,8 milióna dolárov.

Zatiaľ budú používatelia Gravity Bridge čakať na oficiálnu správu o incidente, v ktorej budú podrobne opísané príčiny a akýkoľvek plán na odškodnenie postihnutých vkladateľov. Pokiaľ mosty nevyriešia slabiny validácie, ktoré sa neustále objavujú, najdôležitejšie spojovacie články multichainovej ekonomiky pravdepodobne zostanú aj naďalej najčastejšie okrádanými.