Initia עצרה את הרשת אחרי הטבעת 2 מיליון AUSD, והאקר הגשר של Cysic מעביר 744 אלף דולר לטורנדו קאש

Initia, בלוקצ'יין שכבה ראשונה שנבנה כבסיס לרשת של רולאפים מחוברים (Minitias), עצרה ביום שישי בשעה 15:41 לפי שעון UTC את הרשת ואת הרולאפים שלה. העצירה באה אחרי שחוקרי אבטחה זיהו תוקף שהטביע אסימונים בלי הרשאה והעביר נכסים בשווי של כ-2.6 עד 2.7 מיליון דולר לרשת את'ריום. באותו יום, ההאקר שפרץ כמה ימים קודם לכן לגשר של פרויקט Cysic שלח כ-744 אלף דולר למיקסר Tornado Cash, יום אחרי שהקרן של הפרויקט הציעה לו פרס של 10% תמורת החזרת חלק מהכסף. בשני המקרים הפרצה אפשרה לתוקף ליצור אסימונים חדשים בלי כיסוי, נקודה רגישה בתשתיות ה-DeFi.

איך 2 מיליון AUSD נוצרו בלי כיסוי

הראשון שהצביע על הפריצה היה חוקר האבטחה Spreek, שדיווח ביום שישי כי תוקף הטביע אסימונים בלי הרשאה והמיר כ-2.6 מיליון דולר לנכסים אחרים, וכי כספים נוספים עדיין זזים. פלטפורמת D2 Finance פרסמה בהמשך תמונה מפורטת יותר. לפיה, התוקף ניצל חולשה בפונקציה שנכתבה בשפת Move (שפת חוזים חכמים שבה משתמשות כמה רשתות חדשות) והטביע 2 מיליון אסימוני AUSD שלא היה מאחוריהם גיבוי מספק. משם הוא השתמש בהעברות בין רשתות ומשך לאת'ריום כ-1.4 מיליון AUSD, 105 ETH ו-1.08 מיליון USDC, הסטייבלקוין הדולרי של סירקל.

בסוף התהליך רוכז הכול בארנק אחד באת'ריום שמחזיק כ-1,135.5 ETH, בשווי של כ-2.73 מיליון דולר לפי D2 Finance. The Block דיווח על העברה של כ-2.7 מיליון דולר באת'ר לפי נתונים על השרשרת. המספרים מתיישבים זה עם זה: 2.73 מיליון דולר חלקי 1,135.5 ETH נותנים מחיר של כ-2,404 דולר לאת'ר, ולפיו 105 ETH שווים כ-252 אלף דולר. אם מניחים ש-AUSD נסחר בסביבות דולר, 1.4 מיליון ועוד 1.08 מיליון ועוד 252 אלף מסתכמים בכ-2.73 מיליון דולר. נראה שכמעט כל מה שנמשך מ-Initia הומר בסופו של דבר לאת'ר.

INIT ירד ל-0.115 דולר ונסחר בעלייה של 14%

האסימון של הרשת, INIT, ירד ביום שישי לסביבות 0.115 דולר ותיקן אל מעל 0.15 דולר, לפי CoinGecko. מהשפל ועד 0.15 מדובר בתיקון של כ-30%. בזמן כתיבת הדיווח של Cointelegraph הוא נסחר סביב 0.1496 דולר, עלייה של כ-14% ב-24 שעות.

Initia הודיעה ב-X שהיא עובדת עם חוקרי אבטחה, מאמתים (validators, הצמתים שמאשרים בלוקים) ובורסות כדי לקבוע את מלוא היקף הנזק. היכולת לתאם עצירה של רשת שלמה עם המאמתים עוזרת לבלום את הנזק, אבל מזכירה למשקיעים שבלוקצ'יין צעיר יכול להיעצר בהחלטה של קבוצה מצומצמת. Initia עדיין לא אישרה בפומבי את סכום ההפסד ואת הסיבה המדויקת, ולא ברור מתי הרשת תחזור לפעול ומה ההשפעה על המשתמשים.

Cysic: גשר פרוץ, הקפאה חלקית והכסף במיקסר

במקרה של Cysic, התוקף ניצל חולשה בגשר של הפרויקט והטביע ביום שבת 10 מיליון אסימוני CYS ברשת BNB Smart Chain. הצוות השהה את הגשר, הכניס את כתובת המקבל לרשימה שחורה והקפיא כ-2.8 מיליון מהאסימונים החדשים, כ-28% מהכמות. הקרן הדגישה שהרשת הראשית והנכסים שכבר נמצאים בארנקי המשתמשים לא נפגעו.

ביום חמישי שלאחר מכן הציעה קרן Cysic להאקר פרס של 10% אם יחזיר 275.872 ETH, כ-665 אלף דולר, שהם כ-90% מתמורת האת'ר שזוהתה. מכאן שהתמורה הכוללת באת'ר עמדה על כ-306.5 ETH. למחרת, לפי PeckShield, הכתובת של ההאקר העבירה 300 ETH ו-30.4 BNB ל-Tornado Cash, מיקסר שמאגד הפקדות מכתובות רבות ומקשה על מעקב אחרי הכספים. לפי נתוני Arkham, בארנק שלו באת'ריום נשארו 45 דולר בלבד באת'ר. Cointelegraph פנה לקרן Cysic בשאלה על מאמצי השבת הכספים ולא קיבל תשובה עד הפרסום.

ציר הזמן של שבוע הפריצות

• שבת, 17 באוקטובר: התוקף מטביע 10 מיליון CYS דרך הגשר של Cysic, והפרויקט מקפיא כ-2.8 מיליון מהם.
• חמישי, 22 באוקטובר: קרן Cysic מציעה פרס של 10% תמורת החזרת 275.872 ETH.
• שישי, 23 באוקטובר: 300 ETH ו-30.4 BNB עוברים מהארנק של ההאקר ל-Tornado Cash.
• שישי, 23 באוקטובר, 15:41 UTC: Initia עוצרת את הרשת אחרי דיווחים של חוקרי אבטחה על הטבעה לא מורשית.

אסימונים מגושרים, מיקסרים והחשבון בבנק הישראלי

בשני המקרים הפרצה ישבה במנגנון שאמור להבטיח שלכל אסימון שנוצר יש כיסוי. אסימון מגושר או מוטבע שווה רק כמו המנגנון הזה, וכשמישהו מטביע כמויות בלי גיבוי, הערך של המחזיקים הקיימים עלול להיפגע. אם אתם מחזיקים אסימונים ברשתות חדשות, כדאי לבדוק אם מדובר בגרסה המקורית של המטבע או בגרסה עטופה, ולהעדיף להחזיק סכומים גדולים ברשת המקורית שלהם ובארנק שבשליטתכם. המדריך שלנו על ארנק חם, ארנק קר וגיבוי מילות שחזור מסביר איך מסדרים את זה.

לישראלים הנקודה הרגישה היא כספים שעברו דרך מיקסרים. לפי חוזר בנק ישראל 2862, שייכנס לתוקף ב-1 במאי 2027, שימוש במיקסרים מעלה את רמת הסיכון בבדיקה מבוססת הסיכון שהבנק יערוך לכספים שמגיעים מקריפטו. עד אז ממשיך לחול הכלל הישן, שמחייב בדיקת מקור כספים ומסלול מטבעות מעל 100 אלף שקל בשנה. ארנק שקיבל בעבר כספים שעברו ב-Tornado Cash עלול לסבך העברה לבנק גם אם אתם עצמכם לא קשורים לפריצה, ולכן כדאי לשמור תיעוד מסודר של מקור כל הפקדה.

מי שספג הפסד מאסימון שקרס בעקבות פריצה ומכר אותו, יכול לקזז את ההפסד שמומש מול רווחי הון באותה שנת מס, כולל רווחים מניירות ערך, ולהעביר יתרה שלא נוצלה לשנים הבאות. הפרטים, כולל דיווח בטופס 1399 תוך 30 יום על מכירה ישירה, מופיעים במדריך המס על קריפטו בישראל.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות.