allbridge

Сообщение ChainCatcher, команда безопасности SlowMist раскрыла, что проект кросс-чейн моста Allbridge подвергся атаке 19 августа 2026 года, в результате чего было потеряно около 190 тысяч долларов. Стоит отметить, что эта атака не была осуществлена мгновенно, злоумышленник начал подготовку почти за месяц до этого и обошел механизм проверки, подделав кросс-чейн сообщения. Согласно анализу SlowMist, злоумышленник 26 июля на цепочке Polygon напрямую вызвал функцию Circle's MessageTransmitterV2.sendMessage, создав сообщение, замаскированное под кросс-чейн сообщение в стиле CCTP, утверждая, что было переведено 1 миллион USDC, но на самом деле никакие операции по сжиганию USDC не проводились. Затем Circle в соответствии с обычным процессом сгенерировала действительное подтверждение (attestation) для этого полного сообщения.Примерно через 24 дня, 19 августа, злоумышленник дождался, когда Base Router получит реальный депозит CCTP, и баланс увеличится до примерно 191 тысячи USDC, после чего всего через 6 секунд инициировал атаку. Злоумышленник использовал ранее подделанное сообщение и подтверждение для вызова функции Allbridge receiveCctpMessage, и поскольку проект не имел ключевой проверки, система ошибочно приняла ложное кросс-чейн сообщение за реальный депозит и зафиксировала лимит в 1 миллион USDC. Затем злоумышленник временно занял около 809 тысяч USDC через Aave flash loan, чтобы сопоставить баланс Router с поддельной суммой, и использовал внутреннюю кредитную запись для вызова функции перевода, в конечном итоге выведя около 999 тысяч USDC (за вычетом 0,1% комиссии). После возврата flash loan и расходов злоумышленник чисто заработал около 189,8 тысяч долларов. Корень этой уязвимости заключается в том, что Allbridge не проверял идентичность отправителя и получателя кросс-чейн сообщения, а также не подтвердил, были ли USDC действительно созданы и увеличился ли баланс, а просто доверял сумме и хэш-данным сообщения, созданным злоумышленником. SlowMist подчеркивает, что проверка сообщений в цепочке не равнозначна поступлению реальных активов. Кросс-чейн протоколы не только должны проверять подлинность сообщений, но и должны гарантировать, что источник сообщений надежен, а получатель является официальным TokenMessengerV2 от Circle, и только после подтверждения фактического создания активов и изменения баланса можно проводить учет активов. Этот инцидент вновь подчеркивает риски безопасности кросс-чейн мостов в процессе проверки сообщений и расчетов активов.

Сообщение ChainCatcher, по данным Decrypt, протокол кросс-цепного моста Allbridge приостановил работу Core протокола из-за атаки с использованием флеш-кредита, в результате которой злоумышленник похитил около 1,65 миллиона долларов из ликвидного пула стейблкоинов Solana.Согласно анализу блокчейн-безопасности от PeckShield и CertiK, злоумышленник занял 1,12 миллиона долларов флеш-кредита через кредитный протокол Solana Kamino, а затем манипулировал ценовым механизмом пула Allbridge через несколько операций обмена стейблкоинов, чтобы обменять активы по низкой цене и перевести средства на адрес Ethereum.В процессе атаки злоумышленник обменял несколько тысяч долларов USDT на около 2,24 миллиона долларов USDC, после чего перевел средства на Ethereum и далее распределил. В настоящее время неясно, возможно ли вернуть часть средств.Allbridge заявила, что команда приостановила работу Core протокола по соображениям безопасности и потребовала от пострадавших поставщиков ликвидности немедленно вывести свои средства. Из-за атаки ликвидный пул оказался в дисбалансе, и некоторые трейдеры воспользовались арбитражной возможностью для получения прибыли. Allbridge призвала соответствующих пользователей вернуть прибыль, заявив, что средства будут использованы для компенсации пострадавшим LP.Команда сообщила, что в настоящее время средства пользователей не подвержены дальнейшему риску и что после завершения расследования будет опубликован подробный отчет о событии, а также планируется повторный запуск Core протокола после удаления ликвидного пула. Это уже второй случай, когда Allbridge сталкивается с подобной атакой с использованием флеш-кредита. В апреле 2023 года ликвидный пул протокола на BNB Chain понес убытки в размере около 573 тысяч долларов из-за аналогичной уязвимости, после чего проект заявил, что удалось вернуть большую часть средств и скорректировать механизм расчета ликвидности.

Сообщение ChainCatcher, протокол кросс-чейн моста Allbridge Core столкнулся с инцидентом безопасности, официальные лица приостановили протокол для расследования и рекомендовали пользователям, имеющим затронутые ликвидные пулы (LP), немедленно вывести средства.Этот инцидент безопасности привел к дисбалансу ликвидного пула и возникновению временных арбитражных возможностей. Официальные лица призывают арбитражных пользователей вернуть средства для компенсации пострадавшим поставщикам ликвидности (LPs). Согласно мониторингу Onchain Lens, убытки Allbridge Core уже превысили 1,1 миллиона долларов.

ChainCatcher news, the cross-chain bridge Allbridge announced that, despite some funds being recovered, it has begun to compensate affected users. The first to receive compensation will be the cross-chain bridge users whose transactions were left pending due to an emergency shutdown, followed by liquidity providers (LPs). Allbridge stated that it reopened the liquidity pool last Sunday, allowing users to withdraw funds, which enabled most LPs to withdraw their assets. However, some users were unable to withdraw reasonable amounts due to being hacked.Allbridge plans to use its available funds to fully compensate the victims of these exploits. Allbridge is drafting an application form for LPs who are unable to withdraw their assets, detailing their losses and requesting compensation. The form will be ready in the next two days. Allbridge will close the liquidity pool this weekend and hopes to begin the compensation process within the following week. (source link)

ChainCatcher message, the cross-chain bridge Allbridge officially stated, "The owner of the address 0xC578 contacted our team and has returned 1500 BNB, and the remaining funds will be considered a white hat bounty for this person. We have exchanged the received BNB for BUSD as compensation. Additionally, there is another address involved in the hack that used the same exploit technique but did not contact us. We are trying to invite this attacker to discuss the issue of fund return." (source link)

ChainCatcher message, [BNB Chain](https://www.rootdata.com/zh/Projects/detail/BNB Chain?k=Mzcz) tweeted that they have identified the cross-chain bridge Allbridge attacker through on-chain analysis and are actively supporting the Allbridge team in the recovery of funds. The Allbridge team has offered a bounty to the hacker.It is reported that on April 2, PeckShield tweeted that the cross-chain bridge Allbridge was attacked by hackers, resulting in a loss of approximately $570,000, including 282,889 BUSD and 290,868 USDT. The fundamental reason for the attack was that the hacker manipulated the exchange rate of the liquidity pool, acting as both LP and Swapper to manipulate prices and deplete the funds in the pool. (Source link)

ChainCatcher message, the cross-chain bridge Allbridge announced that it is investigating the status of the BNB Chain liquidity pool. During the investigation, the bridge has been temporarily closed. Previously, the Shield reminded Allbridge that the formula suspected to be related to Swap might have been manipulated. (Source link)