$285 млн виведено з @DriftProtocol за 12 хвилин. 1 квітня. Це не жарт. Більшість пост-мортемів зупиняються на «скомпрометованому ключі». За 10 днів було два таких випадки. Жоден із них не відбувся так, як більшість людей уявляють. Ось справжній механізм ↓ — ➠ Тиждень до хакінгу: Drift перейшов на новий мультіпідпис Конфігурація: ▸ порог 2 з 5 підписів ▸ 0-секундний таймлок (миттєве виконання, без затримки) ▸ 4 абсолютно нових гаманці ▸ 1 підписант, що залишився з попередньої структури Цей залишений підписант був опорною стіною. За п’ять годин до T=0 підписант, що залишився, запропонував змінити адміністративну адресу Drift. Один новий підписант підписав. Порог досягнуто. Жодної затримки. Контроль адміністратора миттєво перейшов. У цей момент атакувач отримав повний безмежний доступ до всього протоколу. — ➠ Вони використали це за 12 хвилин У 31 транзакції атакувач створив фейковий спот-ринок для токена CarbonVote (CVT) — безцінного токена, який вони самі випустили. Вони назначили оракул Switchboard, яким повністю керували, а потім накачали його, щоб 500 мільйонів CVT виглядали як сотні мільйонів реального коллатералу. Потім вони підвищили ліміти на виведення у 20 разів у кожному основному ринку: ▸ $USDC з 25T до 500T ▸ Те саме для wETH, JLP, dSOL Усі системи аварійного зупинення протоколу були вимкнені в одній транзакції. — ➠ Потім вони вивели кошти Гаманець JLP: з 41,7 мільйона залишилося 133. Втрачено 99,9997%. Шлях коштів: ▸ Гаманець Drift → гаманець drainer HkGz4KmoZ7 ▸ 9 окремих переказів → гаманець-промивальник 8ubo4HbWJH ▸ Переведено на ethereum через Circle’s CCTP v2 і Wormhole Активи на цьому одному шляху виведення: ▸ 100,5 млн USDC у 4 партіях ▸ 100 WBTC виведено через Wormhole ▸ 5,64 млн USDT ▸ 5,25 млн USDS ▸ 164 cbBTC Загальний обсяг виведення з протоколу по всіх шляхах: $270–285 млн. — ➠ Circle не прийняла жодних дій щодо заморозки. Незважаючи на те, що CCTP — це їхній власний мост. Незважаючи на те, що це сталося під час робочих годин у США. Незважаючи на те, що он-чейн монітори зафіксували експлойт у реальному часі. @circle не прийняла негайних дій. На тлі того, що Circle недавно заморозила понад 16 не пов’язаних між собою бізнес-гаманців, але не змогла діяти щодо експлойту на сотні мільйонів у процесі. Спробуйте це зрозуміти. — ➠ Он-чейн інформація Гаманець drainer (HkG...ZES) був профінансований через Near Intents за 8 днів до хакінгу. Потім повністю припинив активність — жодної дії до моменту атаки на гаманці Drift. Гаманець-промивальник (8ub...Gxw і пов’язані адреси) був профінансований лише за один день до експлойту через Backpack. Backpack проводить KYC. Це означає, що до цих гаманців прив’язане реальне ім’я. Це найбільш ідентифікований слід у всьому операції — і це серйозна помилка в операційній безпеці. Отримувана адреса ETH була заповнена через @TornadoCash до експлойту. Вихідний шлях був створений за тижні або місяці до цього. Ця невизначеність зазвичай вказує на кількох учасників з різним рівнем операційної безпеки. Також це найкорисніший слід для слідчих. — ➠ Порівняйте це з @ResolvLabs Атаковано приблизно за 10 днів до цього. Жодного атаки на оракул. Жодного фейкового коллатералу. Скомпрометований ключ SERVICE_ROLE, який використовувався для безпосереднього створення непокритих стейблкоїн USR на ринку. Інший метод виконання, той самий тип невдач: один приватизований ключ, без таймлока, без лимитування того, що цей ключ може авторизувати. Drift: адмін-ключ, оракул, фейковий коллатерал, виведення з гаманця. Resolv: сервіс-ключ, створення непокритих токенів, продаж. Обидва мали нульовий таймлок. Обидва мали адмін-ключ з безмежними повноваженнями. Обидва виставили сотні мільйонів коштів користувача на один пункт невдач. — ➠ Якщо у вас є кошти в будь-якому з цих стратегичних гаманців Drift Перевірте свою позицію зараз: AcePro, Algorithmica, ALT3 Capital, Circuit, Elemental, Equinox, Gauntlet, HaveMore, Knightrade, Kvants, M1, MetaEntropy, Neutral Trade, NX Finance, PrimeNumber, The Capital, Vectis, Vega Finance, ViXii. Наразі Drift призупинив депозити та виведення. NFA. DYOR. Бережть себе.