Кроссчейн-протокол Chainflip 14 сентября 2024 года стал жертвой атаки, в результате которой злоумышленник похитил 736 442 USDT. По информации Incrypted, команда проекта назвала произошедшее первым серьёзным инцидентом безопасности, который привёл к потере средств из хранилищ платформы.

Как произошла атака

Уязвимость была обнаружена в механизме обработки примечаний (memo) к транзакциям в блокчейне Tron. Атакующий сумел изменить примечание в уже подписанной валидаторами сети операции. Система Chainflip ошибочно восприняла модифицированную транзакцию как новый обмен и инициировала повторную выплату средств.

Фактически один и тот же депозит оплачивался дважды — сначала по оригинальной транзакции, затем по изменённой. Злоумышленник эксплуатировал эту схему на протяжении примерно 90 минут, совершив восемь попыток атаки. Шесть из них оказались успешными, что позволило вывести 736 442 USDT.

Ещё одна операция пользователя на сумму 115 654 USDT не была завершена. Эти средства остались в хранилище протокола и будут выплачены после возобновления работы системы. Команда Chainflip подчеркнула, что уязвимость затронула исключительно операции с USDT в сети Tron — другие активы и блокчейны не пострадали.

Реакция команды и партнёров

Сразу после обнаружения атаки Chainflip приостановил работу протокола. Команда разработчиков подготовила исправление и заявила, что возобновление операций возможно не ранее 14 сентября. Проект пообещал полностью компенсировать потери всем пострадавшим пользователям.

Платформа MOCA, интегрированная с Chainflip, также приостановила все операции, проходящие через протокол. Представители MOCA сообщили, что средства пользователей на их стороне остались в безопасности. Команда отметила, что Chainflip удалось быстро локализовать проблему в конкретном направлении обмена, и выразила поддержку разработчикам.

Контекст инцидента

Chainflip — это децентрализованный протокол для обмена активами между различными блокчейнами без использования мостов и wrapped-токенов. Проект работает на основе сети валидаторов, которые подписывают транзакции в различных сетях.

Инцидент подчёркивает сложность интеграции с блокчейном Tron, где механизм memo-полей отличается от других сетей. Ошибка в логике обработки этих полей позволила атакующему обмануть систему валидации и получить двойную выплату за одну транзакцию.

Этот случай стал очередным напоминанием о рисках, связанных с кроссчейн-протоколами. Ранее аналогичные уязвимости эксплуатировались в других DeFi-проектах, что приводило к убыткам в миллионы долларов.

Что это значит для российских инвесторов

Российским пользователям кроссчейн-протоколов следует учитывать риски безопасности при выборе платформ для обмена криптовалют. Если вы используете Chainflip или аналогичные сервисы, рекомендуется следить за официальными объявлениями команды о возобновлении работы и статусе компенсаций.

Для обмена USDT и других стейблкоинов российским пользователям доступны проверенные P2P-площадки на биржах Bybit, OKX и MEXC, а также надёжные обменники из каталога CoinDaily. При работе с новыми DeFi-протоколами всегда стоит диверсифицировать риски и не держать крупные суммы на экспериментальных платформах.