25 сентября кошелёк, связанный с исследователем в области безопасности под псевдонимом Quit, вывел 3 832 NFT из сотен не связанных между собой кошельков. Это стало первым заметным признаком спасательной операции, основанной на уязвимости в контракте Payment Processor V2 компании LimitBreak.
В итоге в ходе операции были перемещены 23 155 NFT стоимостью почти 6 миллионов долларов, а из-за отдельного способа эксплуатации уязвимости 660 WETH вернуть не удалось.
Белые хакеры переместили тысячи NFT
Инцидент привлёк внимание после того, как трейдер NFT Cirrus сообщил, что один кошелёк вывел 3 832 NFT из более чем 100 кошельков. Позже Quit, который также занимает должность вице-президента по блокчейну в Yuga Labs, подтвердил, что переводы были частью операции белых хакеров.
«Всё, что находится в кошельке 0x71cF3f5724bD2B72Ef6464992aCd26216DE7fe33, в безопасности и будет возвращено, как только ему больше ничего не будет угрожать», — написал исследователь.
Он пояснил, что проблема была связана с Payment Processor V2. В 9 утра по восточному времени атакующий использовал уязвимость, чтобы забрать 10 Meebits, 50 Otherdeeds, 10 NFT World of Women и 235 Despertae Apewives.
Затем Quit обнаружил, что та же уязвимость угрожает многим другим NFT, однако ситуация осложнялась тем, что V2 нельзя было приостановить. После обращения LimitBreak удалось приостановить Payment Processor V3, но V3 в сети ApeChain также временно нельзя было приостановить.
«Единственным способом защитить активы, которым угрожала опасность, было провести операцию белых хакеров», — отметил Quit.
Всего удалось спасти 23 155 NFT. По оценке исследователя, их стоимость составляет около 6 млн долларов. Позже владельцы смогут получить свои активы после отзыва уязвимых разрешений.
Однако спасены были не все активы, подверженные этой уязвимости: позже Quit выяснил, что её также можно использовать в обратном направлении, чтобы украсть WETH, — под угрозой оказались 660 WETH.
«Я работал всю ночь напролёт, чтобы спасти NFT на сумму около 6 млн долларов, и теперь не могу перестать думать о 1,7 млн долларов в WETH, которые я не успел спасти», — написал он в X.
Второй взлом за тот же день
Инцидент с NFT произошёл почти одновременно со взломом Bitget: хакеры вывели более 351 млн долларов из части горячих и тёплых кошельков биржи. Холодное хранилище, где находилась большая часть активов биржи, не пострадало.
Как CryptoPotato сообщалось ранее сегодня, генеральный директор Bitget Грейси Чен объяснила потерю средств компрометацией внутренней системы, которая позволила злоумышленнику подменить данные транзакций, а не кражей приватного ключа. Она также заявила, что пострадавшим клиентам возместят ущерб за счёт фонда защиты пользователей Bitget, размер которого составляет 464 млн долларов.
Наибольшую долю украденной криптовалюты составил XRP: более 100 млн монет общей стоимостью свыше 158 млн долларов были распределены по нескольким кошелькам.
Источник: CryptoPotato
