Atak na Hyperbridge: Hakerzy „wydrukowali” miliard DOT i sprzedali go za bezcen

Eksperci ds. bezpieczeństwa z CertiK poinformowali o poważnym naruszeniu protokołu Hyperbridge. Napastnicy zdołali wykorzystać lukę w inteligentnym kontrakcie mostu, co pozwoliło im na nieautoryzowaną emisję gigantycznej ilości tokenów w sieci Ethereum.

Przebieg ataku: Miliard w jednej chwili

Scenariusz włamania przypominał najgorsze koszmary deweloperów mostów międzyłańcuchowych:

1. Minting: Napastnicy wygenerowali dokładnie 1 000 000 000 tokenów DOT (w formie zmostkowanej) bezpośrednio w sieci Ethereum.
2. Błyskawiczna sprzedaż: Zamiast rozkładać transakcje w czasie, hakerzy zdecydowali się na jedną, brutalną operację. Cały miliard DOT został „wrzucony” do puli płynności.
3. Slippage i wynik: Ze względu na brak odpowiedniej płynności dla tak absurdalnej ilości tokenów, nastąpił gigantyczny poślizg cenowy (slippage). W efekcie hakerzy otrzymali zaledwie 108,2 ETH, co przy obecnym kursie przekłada się na około 237 tys. USD.

Skutki dla ekosystemu Polkadot

Mimo że hakerzy „stworzyli” tokeny o teoretycznej wartości rynkowej liczonej w miliardach dolarów, realna szkoda finansowa została ograniczona do płynności dostępnej w puli na Ethereum.

• Bezpieczeństwo sieci głównej: Rodzime tokeny DOT na relay-chainie Polkadot pozostały bezpieczne. Atak dotyczył jedynie „owiniętej” (wrapped) wersji tokena na moście.
• Reputacja Hyperbridge: Protokół, który promował się jako rozwiązanie bezpieczne i oparte na technologii ZK (Zero-Knowledge), będzie musiał zmierzyć się z ogromnym kryzysem zaufania.

Analiza CertiK: Gdzie leżał błąd?

Wstępne raporty sugerują błąd w logice weryfikacji komunikatów cross-chain, który pozwolił na „podrobienie” dowodu potwierdzającego depozyt po stronie Polkadot.

„To kolejny dowód na to, że mosty pozostają najsłabszym ogniwem architektury multichain. Wydrukowanie miliarda tokenów pokazuje, że błędy w kodzie nie znają litości” – komentują analitycy CertiK.

Podsumowanie: Szczęście w nieszczęściu

Gdyby pula płynności na Ethereum była głębsza, hakerzy mogliby wyprowadzić miliony dolarów, trwale destabilizując powiązanie (peg) zmostkowanego DOT. Na ten moment zespół Hyperbridge wstrzymał działanie mostu i prowadzi śledztwo, mające na celu ustalenie tożsamości sprawcy i odzyskanie środków w ETH.