Эксплойт Déjà Vu от Allbridge: тот же сценарий, спустя три года

Allbridge приостановила флагманский кроссчейн-мост стейблкоинов Allbridge Core после того, как злоумышленник вывел из своего развертывания на Solana примерно 1,65 млн долларов

Предварительный ончейн-анализ показывает, что атакующий использовал USDC-флэш-кредит на 1,12 млн долларов от Kamino, чтобы манипулировать пулом ликвидности USDC/USDT в протоколе и вывести средства по более выгодным ставкам до того, как пул успеет перебалансироваться.

Инцидент стал вторым эксплойтом, связанным с флэш-кредитами, который затронул Allbridge за три года. В апреле 2023 года протокол потерял примерно 573 тыс. долларов в атаке, нацеленной на развертывание на BNB Chain.

Хотя два случая произошли в разных блокчейнах и при разных условиях, их сходство привело к вопросу: это новая уязвимость или та же архитектурная ошибка, проявившаяся на другом чейне?

Сравнение эксплойтов 2023 и 2026 годов

Атаки затронули разные блокчейн-среды, но доступные данные указывают на то, что они имели несколько общих характеристик.

В марте 2023 года Allbridge столкнулась с эксплойтом примерно на 573 тыс. долларов на BNB Chain после того, как атакующий манипулировал логикой ценообразования пула ликвидности протокола

Согласно послеразбору инцидента, атакующий выступал и как провайдер ликвидности, и как трейдер: он обменял BSC-USD на BUSD, чтобы изменить баланс пула, прежде чем вывести ликвидность по искусственно выгодной ставке. Затем атакующий вернул флэш-кредит и сохранил прибыль, полученную из-за временного искажения цен

Предварительный анализ указывает, что июльский эксплойт на Solana в 2026 году, судя по всему, следовал похожему сценарию

По сообщениям, атакующий занял 1,12 млн долларов в USDC через флэш-кредит от Kamino и выполнил серию быстрых свопов USDC/USDT, которые изменили внутреннее соотношение пула. Затем он вывел ликвидность по завышенным значениям до того, как обычная рыночная активность восстановила бы равновесие, что привело к потерям примерно в 1,65 млн долларов.

В общих чертах, оба инцидента, судя по всему, сводились к манипуляции внутренне вычисляемым ценообразованием пула непосредственно перед выводом ликвидности

В системах, где в первую очередь ценность определяется балансами пула, достаточно крупные транзакции в рамках одного блока могут временно исказить ценообразование быстрее, чем арбитражные трейдеры или автоматизированные механизмы коррекции успеют среагировать.

Что изменилось между двумя инцидентами?

Существует несколько различий между эксплойтами 2023 и 2026 годов.

Блокчейн: первый эксплойт произошел в BNB Chain, а последний инцидент затронул развертывание Allbridge в Solana по мере расширения протокола на несколько сетей.

Масштаб: финансовый ущерб заметно вырос — с примерно 573 тыс. долларов в 2023 году до примерно 1,65 млн долларов в 2026.

Перемещение средств: после эксплойта 2023 года похищенные средства были отследены до Tornado Cash. В последнем инциденте блокчейн-исследователи сообщили, что средства были перебриджены с Solana на Ethereum, прежде чем пройти через ориентированную на приватность инфраструктуру.

Путь восстановления: в случае 2023 года дело в итоге привело к договоренности в формате white-hat, которая позволила вернуть примерно 465 тыс. долларов. В отличие от этого, эксплойт 2026 года остается без решения. Allbridge опубликовала публичное обращение с просьбой к трейдерам, которые получили прибыль в рамках возникшего арбитражного окна, добровольно вернуть средства, но подтверждения восстановления нет.

Устранил ли Allbridge первопричину?

Один из ключевых нерешенных вопросов заключается в том, устранил ли протокол реакцией на эксплойт 2023 года конкретную ошибку реализации или же сохранялись более широкие архитектурные риски.

На данный момент нет публичных доказательств того, что эксплойт 2026 года стал результатом той же самой уязвимости в коде, которая была выявлена в 2023 году. Однако оба инцидента, судя по всему, связаны с временной манипуляцией ценообразованием пула ликвидности сразу перед тем, как выполнялся вывод.

Это сходство вызвало повышенное внимание к тому, что атаки могли быть вызваны изолированными проблемами в коде или же моделью ценообразования, которая может быть уязвима к искажениям, инициируемым флэш-кредитами, при определенных рыночных условиях.

Если будущие расследования покажут, что оба эксплойта опирались на похожие экономические предположения, а не на идентичные ошибки в коде, последний инцидент может указывать на более широкую проблему дизайна, а не на недавно обнаруженную уязвимость.

Почему это важно

Эксплойт происходит на фоне продолжающейся волны нарушений безопасности в DeFi и мостах

Исследователи безопасности блокчейнов оценивают, что криптоэксплойты сформировали примерно 57,8 млн долларов потерь только за июль 2026 года, подчеркивая сохраняющиеся риски для инфраструктуры децентрализованных финансов.

Для Allbridge второй эксплойт, связанный с флэш-кредитами, за три года, вероятно, снова усилит внимание к тому, как платформы DeFi защищают пулы ликвидности от манипуляций краткосрочными ценами.

Погрузитесь в популярные новости по крипте от DailyCoin сегодня:
Grayscale переформатирует ETF для майнеров биткоина на фоне сдвига в сторону вычислений ИИ
Капитуляция по биткоину остывает, но $69K остается ключевой

×

Ежедневная проверка настроения от DailyCoin: в какую сторону вы склоняетесь после прочтения этой статьи?

Бычий Медвежий Нейтральный

Рыночные настроения

0% Нейтральный

Никогда не пропускайте движение рынка Получайте крупнейшие крипто-истории, идеи по ценам и эксклюзивы DailyCoin прямо в ваш почтовый ящик.

Подписаться