Децентрализованная биржа бессрочных контрактов AFX Trade, работающая в сети Arbitrum, лишилась около 24,15 млн USDC. Компания Blockaid зафиксировала атаку вечером 22 июля и уточнила: пострадал не сам Arbitrum, а мост, который эксплуатирует сам протокол. Как устроены кросс-чейн мосты и почему они остаются слабым звеном, разбираем в разделе про безопасность. Похищенное почти обнулило заблокированные в протоколе средства.

Самое интересное — способ. Смарт-контракт никто не ломал: злоумышленник получил доступ к ключам подписи валидаторов моста, и пять подписей «горячих» валидаторов одобрили перевод, собрав необходимый кворум примерно в две трети, — как следует из разбора инцидента. То есть ончейн-логика отработала ровно так, как её написали, — просто команду ей дал не тот, кто должен. Дальше средства ушли с Arbitrum в Ethereum и были обменяны примерно на 12 467 эфиров по средней цене $1937, всё на один кошелёк. Сооснователь Offchain Labs Стивен Голдфедер подчеркнул, что нативный мост Arbitrum не пострадал.

Инцидент ложится в неприятную закономерность. Это уже четырнадцатый случай за июль, и месяц по потерям обошёл июнь. Похожая механика была в апреле, когда Drift потерял около $285 млн: атакующие месяцами подбирались к привилегированному доступу, а не искали дыру в контракте. Неделей ранее на той же Arbitrum пострадала платформа Ostium — там увели $18 млн через манипуляцию оракулом. Картина года такова: удар приходится не на смарт-контракты, а на инфраструктуру вокруг них — ключи, серверы, процессы согласования. Расследование ведут Blockaid, PeckShield и команда Arbitrum, о возврате средств не сообщалось.

Мой вывод. На мой взгляд, тут важна ровно одна мысль: аудит смарт-контракта больше не равен безопасности. Код AFX сработал корректно — подвела человеческая часть системы, доступ к ключам. И это делает бесполезной привычную логику «контракт проверен, значит можно заходить». Отдельно отмечу мостовую специфику: мост по определению держит крупный залог в одном месте, поэтому и цена ошибки исчисляется десятками миллионов. Практический вывод простой: перед тем как оставлять средства в протоколе, стоит смотреть не только на аудиты, но и на то, кто и как управляет ключами.

Материал носит информационный характер и не является инвестиционной рекомендацией — DYOR. Больше о рисках протоколов и мостов — в разделе про термины.