Напишу коммент про взлом Allbridge Core. Очередной взлом.

Кросс-чейн-мост Allbridge остановил свой продукт Core после того, как злоумышленник вывел около $1,65 млн из стейблкоин-пулов на Solana (это по оценке PeckShield и CertiK); Onchain Lens пока видит в блокчейне $1,1 млн. Это расхождение Allbridge еще не объяснили.

И так механика взлома. Мост как таковой не ломали. Атаковали ценообразование пула. Allbridge Core считает стоимость вывода не по внешнему оракулу, а по соотношению активов внутри собственного пула.

Злоумышленник взял флеш-займ на $1,12 млн USDC у ленд-протокола Kamino (такой заем берется и гасится в одной транзакции, без залога), затем серией быстрых свопов USDC↔USDT перекосил баланс стейблов в пуле, вывел ликвидность по искаженному курсу и вернул заем. Все внутри одного блока. Отреагировать со стороны было невозможно физически. Сам флеш-займ здесь это капитал для манипуляции; брешь была в том, что цена бралась из пула, который легко качнуть.

Удивиельно, что это повтор. Почти такая же flash-loan атака случилась у Allbridge еще в 2023, и тогда команда говорила, что проблему закрыли. Но заплатка не дошла до Solana-пулов видимо и старый трюк сработал заново.

Теперь протокол поставили на паузу, а поставщиков ликвидности попросили срочно забрать средства из затронутых пулов, чтобы остановить утечку. Деньги уже ушли с Solana на Ethereum (адрес 0x651591b68A9c9650FB23F642162353306281ffDe   https://etherscan.io/address/0x651591b68A9c9650FB23F642162353306281ffDe. По этой ссылке на Etherscan можно в реальном времени смотреть баланс и историю переводов адреса куда дальше двигаются средства. Но аналитики отмечали, что часть уже уводилась через privacy-протоколы, поэтому цепочка после этого адреса может обрываться) и разбросаны по кошелькам.

Часть через privacy-протоколы для запутывания следа; движение отслеживают PeckShield, CertiK и Onchain Lens это единственный шанс на заморозку, если средства всплывут на централизованной бирже.

Allbridge также публично попросил арбитражников, случайно заработавших на образовавшемся ценовом окне, вернуть деньги, иногда часть так и возвращают.

На будущее команда обещает перезапустить Core без пулов ликвидности в прежнем виде, то есть убрать сам механизм, который сделал атаку возможной.

Взломы мостов и пулов одни из самых дорогих в крипте: проще не атаковать блокчейн, а обмануть логику ценообразования. Можно конечно брать цену из внешних оракулов, а не из внутреннего курса пула; ставить защиту от манипуляций в пределах одной транзакции (усредненные TWAP-цены, задержки); проходить аудит после каждой правки кода; держать постоянный ончейн-мониторинг…но если заплатка не покрывает все сети и все пулы, это не исправление, а отложенная проблема.