Согласно отчету платформы безопасности блокчейна CertiK от 14 мая, через мост протокола Alex в сети BNB Smart Chain произошло подозрительное снятие средств на сумму 4,3 миллиона долларов США после внезапного обновления контракта.

Alex — это протокол второго уровня для Биткойн, предлагающий децентрализованные финансовые приложения в сети Биткойн. Его мосты облегчают передачу активов из таких сетей, как BNB Smart Chain и Ethereum, в собственную сеть.

Данные блокчейна показывают, что учетная запись развертывателя Alex выполнила пять идентичных обновлений контракта «Bridge Endpoint» в BNB Smart Chain, начиная с 15:56 по всемирному координированному времени. Это привело к удалению Binance-Pegged Bitcoin (BTC), USD Coin (USDC) и Sugar Kingdom Odyssey (SKO) на сумму примерно 4,3 миллиона долларов США со стороны моста BNB Smart Chain.

CertiK предположила, что это событие может указывать на «возможную компрометацию закрытого ключа», поскольку обновление было проведено учетной записью развертывателя протокола. Транзакция обновления изменила адрес реализации на адрес, заканчивающийся на 7058, который содержал непроверенный байт-код, что сделало его нечитаемым.

Примерно через 48 минут после начала этих обновлений прокси-адрес для мостового контракта вызвал непроверенную функцию по адресу, заканчивающемуся на 4848E. Следовательно, 16 BTC (983 000 долларов США в текущих ценах), 2,7 миллиона SKO (75 000 долларов США) и USDC на сумму 3,3 миллиона долларов были переведены на адрес, заканчивающийся на 484E.

Есть признаки того, что злоумышленник мог нацелиться на средства в других сетях. В 17:41, вскоре после подозрительного обновления BNB Smart Chain, аналогичные обновления были проведены на Ethereum. В этом случае разработчик обновил «адрес исполнителя» до непроверенного контракта. После этого учетная запись, оканчивающаяся на 05ed, предприняла две попытки вывода средств с «адреса команды», обе из которых завершились неудачно с ошибкой «не владелец».

Учетная запись 05ed не проявляла никакой активности до 10 мая, в результате чего был создан один непроверенный контракт в этот день и еще два 14 мая, что позволяет предположить, что ею может управлять злонамеренный пользователь.

На момент публикации отчета команда Алекса не подтвердила факт эксплойта и не сделала каких-либо заявлений по поводу инцидента.

Мост Алекса — не единственный протокол, который может подвергнуться потенциальной эксплуатации в мае. 13 мая децентрализованная биржа Equalizer сообщила о потере более 2000 токенов из-за того, что злоумышленник перекачивал их небольшими порциями в течение нескольких дней. Кроме того, взлом Gnus.ai 6 мая привел к убыткам на сумму 1,27 миллиона долларов.