Міжланцюговий міст знову потрапив у пастку! Основний продукт Allbridge був використаний для маніпулювання обмінним курсом за допомогою флеш-займу, 1,65 млн доларів США було викрадено

跨链桥 Allbridge Core на Solana зазнала атаки із використанням флешпозики, викрадено близько 1,65 млн доларів. Зловмисник провів флешпозику на 1,12 млн доларів у USDC у поєднанні з швидким обміном, щоб маніпулювати курсом стабільних монет, а потім перевів викрадені кошти на Ethereum. Від травня цього року і до сьогодні кросчейн-мости щонайменше зазнали 6 атак.
(Передісторія: Кросчейн-мост Axelar потрапив на гачок! Баг із нескінченним карбуванням на Secret Network вкрав 4,67 млн доларів)
(Додаткова довідка: Кросчейн-мост Taiko потрапив на гачок: після зупинки блоків у зоні L2 Taiko офіційно заявила, що ризики контролюються, збитки — близько 1,70 млн доларів)

Зміст статті

Перемикач

• Шлях флешпозикової атаки
• Схема «флешпозики» у кросчейн-мостах
• Частота атак на кросчейн-мости цього року

Кросчейн-стейблкоїн-мостовий протокол Allbridge Core у неділю зазнав атаки: близько 1,65 млн доларів було викрадено. Офіційно призупинили роботу протоколу, закликаючи постачальників ліквідності вивести кошти.

У повідомленні на платформі X Allbridge зазначив, що Allbridge Core наразі стикається з інцидентом безпеки, а протокол призупинено для проведення розслідування.

Шлях флешпозикової атаки

Згідно з відстеженням ончейн-аналітика Onchain Lens, атакувальник позичив 1,12 млн доларів USDC на платформі кредитування Kamino, а потім здійснив швидкий обмін USDC/USDT у пулі стабільних монет Allbridge Core, маніпулюючи курсом у пулі.

Lookonchain на платформі X опублікував повну схему процесу атаки. Після маніпуляції курсом атакувальник вивів ліквідність за зміненим курсом, після чого, погасивши позику в 1,12 млн доларів USDC, забрав різницю — близько 1,65 млн доларів.

Озонлайн-дані CertiK Alert показують, що викрадені кошти було перекинуто з кросчейн-моста на Solana на Ethereum, а врешті вони зникли в приватному пулі.

Схема «флешпозики» у кросчейн-мостах

Це не перший випадок, коли Allbridge Core зазнав атак із використанням флешпозики. У квітні 2023 року Allbridge на BNB Chain уже втрачав 0,573 млн доларів через ту саму схему: атакувальник одночасно грав роль постачальника ліквідності та обмінника, використовуючи вразливість у смартконтракті для маніпулювання ціною swap.

Те, що кросчейн-мости стають ціллю атакувальників, пояснюється тим, що мости зазвичай утримують великі пули коштів для підтримки мостових активів на цільовій блокчейн-мережі. Атакувальнику достатньо маніпулювати відносною ціною активів у пулі, щоб із невеликою сумою капіталу збільшити можливості арбітражу.

Частота атак на кросчейн-мости цього року

Allbridge Core — щонайменше 6-й кросчейн-мост, який постраждав від цілеспрямованих атак, починаючи з травня 2026 року. Нижче — ключові події останнього часу:

• Taiko (червень): кросчейн-мост Taiko для блокчейну Ethereum L2 було викрадено на 1,70 млн доларів; через 11 днів міст відновили після плану з чотирьох кроків
• Secret Network (червень): через баг «нескінченне карбування» створили підкріплені беззаставні (без забезпечення) упаковані активи Axelar, втрати — 4,67 млн доларів
• Gravity Bridge (травень): кросчейн-мост у екосистемі Cosmos зазнав атаки
• Verus Bridge (травень): кросчейн-мост на Ethereum викрали на кілька мільйонів доларів
• Butter Network (травень): протокол MAP втратив 96% вартості менш ніж за місяць

Моделі атак на кросчейн-мости демонструють спільну рису стабільнокоїн-мостів: чим більш сконцентрована ліквідність у пулі, тим більша можливість для маніпулювання курсом. Для користувачів DeFi, які покладаються на кросчейн-ліквідність, регулярна перевірка стану моста стала базовим заходом захисту.