З рахунку Gravity Bridge викрадено 5,4 млн доларів: хакер перевів вкрадені кошти через Binance

Кошти були переведені через Binance та ChangeNow

Gravity Bridge, протокол, що переміщує токени між Ethereum та екосистемою Cosmos, втратив близько 5,4 млн доларів у результаті нової атаки, виявленої компанією з безпеки блокчейнів Peckshield. Серед викрадених активів — приблизно 4,3 млн доларів у USD Coin (USDC), 274 ефіри (ETH) на суму близько 553 000 доларів, 434 000 доларів у Tether (USDT) та 14 164 токени PAYG вартістю близько 64 000 доларів.

Зловмисник не гаяв часу на переміщення викрадених коштів. За оцінкою Peckshield, частина викрадених коштів вже була відмита через Changenow, некастодіальний сервіс обміну, та Binance, найбільшу у світі криптовалютну біржу за обсягом торгів. На момент опублікування попередження зловмисник все ще володів приблизно 2 102 ETH на суму близько 4,23 млн доларів, що свідчить про те, що більша частина викрадених коштів залишилася в ланцюжку і потенційно може бути відстежена.

Переведення коштів через централізовану біржу, таку як Binance, може заплутати сліди, змішавши вкрадені монети з легальною ліквідністю, але це також наражає кошти на ризик заморожування, якщо команда з дотримання нормативних вимог платформи діятиме швидко. Сервіси обміну, такі як ChangeNow, часто використовуються для перетворення активів у токени, які важче відстежити, перш ніж вони потраплять на біржу.

Що робить Gravity Bridge

Gravity Bridge — це міжланцюговий міст (програмне забезпечення, що дозволяє користувачам переміщувати токени з одного блокчейну в інший), який з'єднує Ethereum із мережею взаємосумісних ланцюгів Cosmos. Побудований на базі Cosmos SDK, він працює за моделлю «блокування та карбування». Тут токен блокується в одному ланцюзі, а еквівалентне представлення карбується в іншому, потім спалюється та погашається, коли користувач повертається назад.

Замість того, щоб покладатися на невеликий гаманець з багатопідписом або групу операторів з дозволом, Gravity Bridge використовує свій набір валідаторів для підписання міжланцюгових транзакцій — це конструкція, покликана зробити систему більш децентралізованою та важчою для злому. Ця архітектура не зробила мости невразливими до атак, оскільки за своєю конструкцією вони містять великі пули заблокованих активів, що перетворює їх на одні з найприбутковіших цілей у децентралізованих фінансах (DeFi). Єдина помилка в їхній логіці валідації може розблокувати все одразу.

Жорстокий рік для міжланцюгових мостів

Інцидент з Gravity Bridge стався в розпал важкого періоду для міжланцюгової інфраструктури, враховуючи, що Bitcoin.com News нещодавно повідомив, що експлойти мостів вивели понад 328 мільйонів доларів у восьми окремих інцидентах лише до середини травня 2026 року.

Ця тенденція була безжальною протягом усього року. 18 травня зловмисники вивели близько 11,5 мільйонів доларів з мосту Verus-Ethereum, причому перед крадіжкою зловмисник отримав фінансування через Tornado Cash. Згодом, у квітні, ймовірна атака вивела, за оцінками, понад 200 мільйонів доларів з Drift Protocol, тоді як інший злом вивів 116 500 rsETH з адаптера Layerzero

від KelpDAO, наражаючи ринки кредитування на потенційні безнадійні борги.

Накопичилися й менші збитки, зокрема атака з використанням флеш-позик на міст Shibarium на суму 2,4 мільйона доларів. Усе це вказує на структурну проблему, а не на низку невдач. Містям потрібно узгодити різні моделі безпеки двох ланцюгів, а код, що перевіряє депозити та зняття коштів, неодноразово виявлявся найслабшою ланкою (через відсутність перевірок валідації, скомпрометовані ключі або недоліки в управлінні).

Прогнозування подальших кроків

Нагальне питання полягає в тому, скільки з викрадених 5,4 млн доларів можна повернути. Оскільки зловмисник все ще володіє приблизно 4,23 млн доларів в ETH, біржі та аналітичні компанії мають можливість позначити та заморозити ці кошти, а протоколи все частіше використовують тиск громадськості та повідомлення в ланцюгу для переговорів щодо повернення коштів. Наприклад, хакер Verus зрештою повернув 8,5 млн доларів, залишивши собі 2,8 млн доларів винагороди за угодою про повернення коштів.

Наразі користувачі Gravity Bridge чекатимуть на офіційний звіт про інцидент, у якому буде детально описано першопричину та будь-які плани щодо відшкодування збитків постраждалим вкладникам. Доки мости не вирішать проблеми з валідацією, які постійно виникають, найважливіші сполучні ланки мультичейн-економіки, ймовірно, залишатимуться найбільш вразливими до крадіжок.