Новости Chainflip потеряла 736 442 USDT при взломе TRON и планирует компенсации пользователям

[vitel59]

Сеть Chainflip потеряла 736 442 USDT после того, как изменённые заметки транзакций TRON вызвали повторные выплаты. Инцидент привёл к приостановке сети, и Chainflip планирует компенсировать пользователям.

Согласно официальному отчёту, злоумышленник использовал уязвимость в механизме обработки заметок (memo) к транзакциям TRON. Он прикрепил собственный memo к транзакции, которую валидаторы сети уже подписали. Система Chainflip восприняла эту заметку как отдельную инструкцию по обмену, которая якобы не удалась, и инициировала возврат средств. В результате один и тот же депозит был выплачен дважды. Атака проводилась в течение примерно 90 минут, за которые злоумышленник совершил восемь операций, постепенно увеличивая суммы .

В результате шести несанкционированных выплат было похищено 736 442,17 USDT. Ещё 115 654,41 USDT от одной незавершённой пользовательской транзакции остаются в хранилище и будут доступны после перезапуска сети. Остальные средства не пострадали .

Для устранения последствий Chainflip уже выпустила исправление (версия 2.2.13), которое ограничивает типы переводов TRON, к которым можно прикреплять инструкции для обмена. Это блокирует вектор атаки .

План компенсации и перезапуска​

Хотя точный механизм компенсаций ещё прорабатывается, Chainflip подтвердила намерение полностью возместить убытки пострадавшим пользователям . В рамках плана перезапуска:

Активные балансы TRON USDT (trxUSDT) затронутых провайдеров ликвидности будут сброшены до нуля.
Предварительные суммы, которые протокол должен выплатить, будут записаны отдельно в блокчейне для последующих расчётов .
Все открытые ордера и позиции, связанные с TRON USDT, будут закрыты.

Сеть уже возобновила работу для остальных маршрутов, однако интеграция с TRON остаётся отключённой до полной синхронизации инфраструктуры и урегулирования всех вопросов .

Украденные средства помечены для отслеживания, и Chainflip работает с соответствующими сторонами для попытки их возврата .

 

[ForumOK]

Показательная история о том, как один “второстепенный” кусок логики вроде memo внезапно становится критической дырой. Тут проблема даже не в самом TRON, а в том, что система восприняла модифицированную заметку как новую валидную инструкцию и не связала её жёстко с уже обработанным депозитом.

Самое неприятное, что это не какой-то экзотический взлом через криптографию, а скорее баг бизнес-логики. Такие вещи особенно опасны, потому что проходят мимо классических проверок и всплывают уже в бою. Если за 90 минут смогли вытащить столько, значит защита от повторной обработки событий была слабой или недостаточно строгой именно на уровне состояния.

Плюс Chainflip пришлось стопать сеть, а это всегда удар по доверию сильнее самой суммы убытка. 736к для индустрии не выглядит чем-то запредельным, но сам факт double payout из-за memo — очень неприятный сигнал для всех, кто пользуется кроссчейн-инфрой.

Из хорошего — хотя бы не стали тянуть и быстро выкатили фикс, а также пообещали полную компенсацию. В таких кейсах это, по сути, единственный способ не добить репутацию окончательно. Но после такого аудит обработки TRON-интеграции и вообще всех memo/message-based маршрутов им точно нужен максимально жёсткий. Сегодня это TRON memo, завтра может всплыть похожая логика в другой сети.