Объем похищенных у пользователей Multichain средств достиг $3 млн

Неизвестные продолжают эксплуатировать уязвимость кроссчейн-протокола Multichain, о которой разработчики сообщили в начале недели. По словам технического директора криптокошелька ZenGo Тала Беэри, хакеры уже вывели около $3 млн в цифровых активах.

The @MultichainOrg hack is far from being over.
Over the last hours more than additional $1M stolen, rising the total stolen amount to $3M.
One victim lost $960K!https://t.co/fYhYxUojB8 pic.twitter.com/Gvh5hB6t6s

— Tal Be'ery (@TalBeerySec) January 19, 2022

В понедельник, 17 января, команда Multichain сообщила об уязвимости, затронувшей шесть токенов: WETH, PERI, OMT, WBNB, MATIC и AVAX. На следующий день аналитики PeckShield заявили, что неизвестные воспользовались эксплойтом и вывели более 450 ETH (~$1,4 млн по курсу на тот момент).

Позже разработчики протокола рассказали, что инцидент затронул 445 пользователей. Представители проекта призвали следовать опубликованным инструкциям, чтобы сохранить средства в безопасности.

Беэри отметил, что одна из жертв злоумышленников потеряла около $960 000. Потерпевший оставил в блокчейне Ethereum запись с просьбой вернуть криптовалюту за вознаграждение.

Хакер принял предложение и вернул активы в обмен на 50 ETH (~$157 200).

And it's a deal!
The #multichain attacker / "white hat" returned the funds to the ~$1M, minus $150K "tip" as offered by the victim.#MultichainHack https://t.co/jAX6furhHi pic.twitter.com/EkGvwifoef

— Tal Be'ery (@TalBeerySec) January 20, 2022

«Прежде всего, спасибо, что вы получили WETH. Я не знал о взломе и осознал ситуацию только потому, что WETH так и не поступили в мой кошелек после транзакции на CowSwap. Учитывая стоящую на кону сумму, приняли бы вы 50 ETH в качестве справедливых чаевых?», — написал пользователь в обращении к хакеру.

По словам Беэри, к хакерам обратились и разработчики Multichain. Он указал на то, что они связались с адресом, на котором хранятся 445 ETH украденных средств, и предложили награду за обнаруженный эксплойт.

Seems like @MultichainOrg reached out to the attackers offering them "bounty" (or in other words, actually paying ransom)https://t.co/DzUGUF3vX0 https://t.co/iKLh0HCBXG pic.twitter.com/yC3QEeiZhJ

— Tal Be'ery (@TalBeerySec) January 18, 2022

Вместе с тем в PeckShield сообщили об еще одной уязвимости Multichain, которая затрагивает провайдеров ликвидности кроссчейн-мостов. Специалисты компании отметили, что разработчики использовали ключ администратора, чтобы вывести средства из затронутых контрактов. 

FWIW: We are talking about a different exploitation that affects the bridge LP providers, instead of approving users. The vulnerability is of the same nature of the one being exploited in-the-wild. Fortunately, the team exercises the MPC admin key for fund rescue/migration.

— PeckShield Inc. (@peckshield) January 20, 2022

В сообществе команду проекта раскритиковали за предоставление неоднозначной информации об инциденте и недостаточную поддержку пользователей. Аккаунт Multichain в Twitter отключил возможность комментировать записи.

I can’t be the only one who’s incredibly confused by @MultichainOrg’s messaging here

Schrodinger‘s funds, both safe and unsafe at the same time pic.twitter.com/AW8s8aAhHk

— ChainLinkGod.eth 2.0 (@ChainLinkGod) January 19, 2022

В разговоре с Vice администратор Telegram-канала Multichain под ником Marcel сообщил, что команда предпринимает определенные действия, однако не объявляет о них публично. 

Напомним, в декабре 2021 года Multichain привлек $60 млн от Binance Labs, Circle Ventures и Tron Foundation.