Децентрализованная биржа AFX Trade подверглась масштабной кибератаке, в результате которой злоумышленники вывели из кроссчейн-инфраструктуры платформы 24,15 миллиона долларов в стейблкоинах USDC. Как сообщили специалисты по блокчейн-безопасности из компании Blockaid, инцидент привел к практически полному обнулению ликвидности в протоколе.
Вектор атаки оказался нетривиальным и обошелся без эксплуатации уязвимостей в самом программном обеспечении. Вместо этого хакеры сфокусировались на архитектурном элементе защиты, известном как механизм «горячих валидаторов». Им удалось получить контроль над приватными ключами пяти ключевых узлов, что позволило набрать необходимые две трети голосов для автоматической легитимизации мошеннической транзакции. Примечательно, что смарт-контракт моста предусматривал 200-секундное окно для оспаривания подозрительных операций. Однако в этот критический интервал никто из участников сети не заблокировал перевод, из-за чего система без возражений подтвердила операцию и разблокировала средства.
Инцидент нанес серьезный удар по платформе, которая до этого демонстрировала стремительный рост. Всего за несколько недель до взлома объем торгов бессрочными контрактами на AFX Trade преодолел отметку в 1,1 млрд долларов, а к моменту атаки совокупный оборот уже превышал 1,3 млрд долларов. Отследив движение похищенных активов, аналитики выяснили, что злоумышленники действовали максимально оперативно. Украденные USDC были перемещены в основную сеть Ethereum, где через децентрализованные биржи их обменяли на 12 467,5 монет ETH по среднему курсу около 1 937 долларов за единицу.