🐾 Атака без взлома: как AFX Bridge потерял $24 млн

22 июля из AFX Bridge вывели 24,15 млн USDC.

Уязвимость в смарт-контракте для этого не понадобилась. Злоумышленник получил 5 из 7 действительных подписей валидаторов, и система автоматически подтвердила вывод средств.

📊 Дальнейшее движение активов заняло считаные минуты:

• почти всю ликвидность вывели за 3,5 минуты;
• USDC перевели из Arbitrum в Ethereum через Circle CCTP;
• затем обменяли на ETH через инфраструктуру UniswapX;
• в результате 12 467 ETH оказались на одном адресе.

Аналитики BitOK проследили движение средств от AFX Bridge до конечного кошелька и определили ключевые адреса, задействованные в атаке.

Даже если смарт-контракт не взломан, средства все равно могут быть украдены. Достаточно получить подписи валидаторов, чтобы система сама одобрила вывод.

📓 Полное расследование: https://bitok.org/ru/blog/afx-bridge-hack

Сайт | Telegram | BitOK бот