- 27,813
- 46
- 8 Ноя 2022
Система поверила поддельному сигналу, и мост сам открыл путь к чужим активам.
Криптовалютные мосты годами остаются самым лакомым местом для атак: именно через них активы перетекают между блокчейнами, и именно там проще всего нащупать слабое звено. Очередным подтверждением стала история сети Taiko — надстройки над Ethereum, которая ускоряет и удешевляет транзакции. 22 июня проект подтвердил взлом механизма проверки состояния блокчейна, из-за которого злоумышленник вывел около 1,7 миллиона долларов с мостов сети.
Мосты переносят активы между блокчейнами: средства блокируются в одной сети и выпускаются в другой по криптографическому доказательству, что перевод действительно состоялся. Атакующий научился подделывать такие доказательства. Фальшивые запросы на вывод принимались в сети Ethereum , хотя никаких реальных вкладов в Taiko им не соответствовало.
Причиной стала грубая ошибка. Закрытый ключ, которым подписываются доказательства в системе Raiko (она подтверждает подлинность блоков Taiko), оказался выложен в публичный репозиторий на GitHub . Этот ключ должен храниться внутри защищённой аппаратной среды Intel SGX. Получив его, нападавший зарегистрировал собственное оборудование как доверенный проверяющий узел и начал подписывать поддельные доказательства, которые сеть принимала за настоящие.
Атака прошла в два этапа: сначала фальшивые доказательства переводили выводы в статус «повторяемых», затем эти выводы исполнялись с минимальными проверками, опустошая мост и хранилище токенов ERC20Vault. Большую часть похищенного составили USDC и ETH. Кроме того, нападавший успел отправить около 2 миллионов токенов TAIKO (примерно 170 тысяч долларов) на биржу MEXC, однако часть средств удалось заморозить.
Команда Taiko остановила выпуск блоков, приостановила работу моста и хранилища и призвала пользователей вывести средства со всех мостов сети. Биржи попросили временно прекратить приём депозитов TAIKO — Upbit, Bithumb и KuCoin сделали это в течение нескольких часов. К ночи взлом локализовали, незавершённые операции поставили на паузу, но не потеряли. Курс TAIKO просел на 10–20% и опустился к минимальным значениям около 0,07 доллара.
Случай показал, насколько уязвимы мосты : в 2026 году на них пришлось свыше 340 миллионов долларов потерь в 14 атаках. Чтобы снизить риск, проектам советуют строго хранить секретные ключи — исключать их из публичных репозиториев через правила .gitignore и применять инструменты автоматического поиска утечек. Пользователям рекомендуют не переводить активы через мосты Taiko до официального сигнала о восстановлении. Полный разбор инцидента команда обещала опубликовать позже.
Криптовалютные мосты годами остаются самым лакомым местом для атак: именно через них активы перетекают между блокчейнами, и именно там проще всего нащупать слабое звено. Очередным подтверждением стала история сети Taiko — надстройки над Ethereum, которая ускоряет и удешевляет транзакции. 22 июня проект подтвердил взлом механизма проверки состояния блокчейна, из-за которого злоумышленник вывел около 1,7 миллиона долларов с мостов сети.
Мосты переносят активы между блокчейнами: средства блокируются в одной сети и выпускаются в другой по криптографическому доказательству, что перевод действительно состоялся. Атакующий научился подделывать такие доказательства. Фальшивые запросы на вывод принимались в сети Ethereum , хотя никаких реальных вкладов в Taiko им не соответствовало.
Причиной стала грубая ошибка. Закрытый ключ, которым подписываются доказательства в системе Raiko (она подтверждает подлинность блоков Taiko), оказался выложен в публичный репозиторий на GitHub . Этот ключ должен храниться внутри защищённой аппаратной среды Intel SGX. Получив его, нападавший зарегистрировал собственное оборудование как доверенный проверяющий узел и начал подписывать поддельные доказательства, которые сеть принимала за настоящие.
Атака прошла в два этапа: сначала фальшивые доказательства переводили выводы в статус «повторяемых», затем эти выводы исполнялись с минимальными проверками, опустошая мост и хранилище токенов ERC20Vault. Большую часть похищенного составили USDC и ETH. Кроме того, нападавший успел отправить около 2 миллионов токенов TAIKO (примерно 170 тысяч долларов) на биржу MEXC, однако часть средств удалось заморозить.
Команда Taiko остановила выпуск блоков, приостановила работу моста и хранилища и призвала пользователей вывести средства со всех мостов сети. Биржи попросили временно прекратить приём депозитов TAIKO — Upbit, Bithumb и KuCoin сделали это в течение нескольких часов. К ночи взлом локализовали, незавершённые операции поставили на паузу, но не потеряли. Курс TAIKO просел на 10–20% и опустился к минимальным значениям около 0,07 доллара.
Случай показал, насколько уязвимы мосты : в 2026 году на них пришлось свыше 340 миллионов долларов потерь в 14 атаках. Чтобы снизить риск, проектам советуют строго хранить секретные ключи — исключать их из публичных репозиториев через правила .gitignore и применять инструменты автоматического поиска утечек. Пользователям рекомендуют не переводить активы через мосты Taiko до официального сигнала о восстановлении. Полный разбор инцидента команда обещала опубликовать позже.
- Источник новости
- www.securitylab.ru
