NEAR Intents קיבלה את כל הכסף בחזרה תוך יום, ונפגעי Drift מקבלים סנט לדולר

ביום חמישי, 1 באוקטובר, תוקף רוקן כ-3.8 מיליון דולר משירות ההחלפות NEAR Intents. למחרת הכסף חזר, כולו. באותו יום פתחה Drift Protocol את מנגנון ההחזרים לנפגעי הפריצה שלה מאפריל, והציעה להם כ-1.04 סנט לכל דולר שאבד. בין שני הקצוות האלה עבר שבוע שבו רשת Zano גלגלה אחורה חודש שלם של היסטוריה, Chainalysis ייחסה רשמית את הפריצה ל-Bitget לצפון קוריאה, ושני צוותי פיתוח של ביטקוין פרסמו תיקוני אבטחה.

השבוע הזה מראה דבר שקל לפספס בכותרות על "כמה נגנב". לנפגע חשוב הרבה יותר מה קורה אחר כך, ומה שקורה אחר כך תלוי כמעט לגמרי במבנה של הפרויקט שנפרץ.

ארבעה אירועים, ארבע תוצאות

NEAR Intents: "זיהינו אותך, אדוני"

NEAR Intents הוא שירות שמאפשר להחליף מטבעות בין 35 רשתות. המשתמש מגדיר מה הוא רוצה, ועושי שוק מתחרים על ביצוע ההוראה. לפי נתוני השירות עברו בו יותר מ-30 מיליארד דולר בהחלפות. ביום חמישי ניצל תוקף באג בממשק בין שכבת ההפקדות והמשיכות Omni לבין החוזה החכם הראשי, ומשך כ-3.8 מיליון דולר. השירות נעצר, הפרצה בחוזה תוקנה בתוך כשעה, וההפקדות והמשיכות ב-11 רשתות, ובהן BNB Chain ו-Polygon, נשארו מושבתות עוד כ-12 שעות. לפי החוקר ZachXBT הכסף נשלח לבורסת KuCoin וגושר לביטקוין.

המנהל הכללי אלכס שבצ'נקו פרסם כתובות להחזרה ופנה לתוקף ישירות: "We have identified you, sir". הוא נתן 48 שעות והציג את זה כהזדמנות אחרונה לגילוי אחראי. ביום שישי הכסף חזר במלואו. הודעה שצורפה לעסקה על השרשרת, ושנראה שנכתבה בידי התוקף, אמרה "החזרנו את כל הכספים, טעינו", והמליצה לאחרים להשתמש בתוכניות פרס לבאגים. השירות הודיע שהוא סוגר את החקירה. מטבע NEAR ירד ביום הפריצה בכ-9%, ל-4.86 דולר, ומניות קרן הסל של Bitwise על NEAR, שהתחילה להיסחר יומיים קודם, ירדו ביותר מ-7%.

התזמון הוסיף עניין. יומיים לפני הפריצה הודיע NEAR Intents שמערכת הסינון שלו, SHIELD, דחתה יותר מ-50 מיליון דולר בהחלפות שקשורות לתוקף של Bitget, הקפיאה כ-503 אלף דולר באמצע הדרך, ופספסה כ-166 אלף. לפי Decrypt לא הוכח קשר בין שני האירועים.

Bitget: הבורסה שילמה, הגנב עדיין מכבס

בפריצה ל-Bitget הלקוחות לא הפסידו, כי הבורסה כיסתה את הנזק מקרן ההגנה שלה. אבל הכסף הגנוב עדיין בתנועה, ו-Chainalysis פרסמה השבוע את התמונה המלאה. לפי הדוח, בשלוש השעות הראשונות יצאו 387 מיליון דולר ב-23 העברות לארבע רשתות: 49.7% לאת'ריום, 40.8% ל-XRP, 7.6% לזיקאש ו-1.8% ל-TRON. החברה ייחסה את הפריצה לקבוצות הקשורות לצפון קוריאה, ולדבריה הסכום העביר את השלל של פיונגיאנג ב-2026 מעבר למיליארד דולר. היא סיפרה שבנתה אוטומציה פנימית שקיצרה התאמות בין גשרים מיותר מ-20 שעות עבודה לפחות מ-10 דקות.

באותו זמן התחיל התוקף להסתיר כסף. לפי ZachXBT, ב-30 בספטמבר הוא העביר כ-2,700 ZEC, כ-3.8 מיליון דולר, לבריכה המוגנת Ironwood של זיקאש, שבה השולח, המקבל והסכום מוצפנים. THORChain סירבה לבקשה של Bitget לחסום את הכתובות שלו, וב-28 בספטמבר הומרו דרכה כ-2,390 את'ר, כ-6.3 מיליון דולר, ל-75.2 ביטקוין. Circle וטת'ר הקפיאו עד כה רק כ-318 אלף דולר בסטייבלקוינים.

Zano: הדפסה שלא נראתה במשך חודש

ב-Zano התוקף הדפיס כסף חדש במקום לגנוב כסף קיים. לפי ניתוח האירוע שהפרויקט פרסם, התוקף רשם ב-28 באוגוסט "כתובת שער" ושילם דמי רישום של 100 ZANO, כ-553 דולר. למחרת הוא הדפיס כ-18.4 מיליון ZANO בעסקה אחת. ב-25 בספטמבר הוא חזר על זה, ואז השתמש באותה שיטה כדי ליצור כ-1.8 קוודריליון יחידות של הסטייבלקוין fUSD. המטבעות המזויפים נראו כמו כל מטבע אחר ברשת, וההדפסה הראשונה לא זוהתה כמעט חודש.

כיוון שאי אפשר היה להבדיל בין מטבע אמיתי למזויף, הצוות החליט לגלגל את הבלוקצ'יין אחורה בכחודש, כולל עסקאות לגיטימיות. לפי דובר הפרויקט רק חלק קטן מהמטבעות הגיע לשוק, כי הנזילות בבורסות הייתה מוגבלת. השחזור נעשה מקרן הפיתוח, מכספים אישיים של חברי הצוות ומתרומות, ובעיקר דרך בורסות שיריצו מחדש משיכות שבוטלו. Zano הודתה שבדיקות בעזרת AI, ביקורות פנימיות ותוכנית פרס לא מצאו את הבאג. גלגול כזה הוא צעד שרשת ציבורית גדולה כמעט לא יכולה לעשות, והוא פוגע באמון שההיסטוריה של הרשת סופית.

Drift: דוגמה מספרית לטוקן החזר

Drift, בורסת נגזרים מבוזרת על סולנה, נפרצה באפריל. היא חילקה לנפגעים טוקן בשם DFX, יחידה אחת לכל דולר (USDT) של הפסד מאומת, בסך הכל כ-299.5 מיליון יחידות. ב-1 באוקטובר נפתחה האפשרות לפדות אותן מול קופת החזרים שהחזיקה כ-3.1 מיליון USDT. לפי CryptoSlate, שער הפדיון בהשקה היה כ-0.0104 USDT ליחידה.

נניח שהפסדתם 10,000 דולר וקיבלתם 10,000 DFX. פדיון מלא היום מכניס לכם כ-104 דולר, והטוקנים נשרפים. אם תחכו, נתח מהכנסות פלטפורמת המסחר החדשה של Drift וכל כסף גנוב שיוחזר ייכנסו לקופה מדי יום, והשער לכל טוקן שנשאר יעלה. טת'ר התחייבה באפריל לעד 127.5 מיליון דולר לחידוש הפעילות ולהחזרים, ושותפים נוספים לעד 20 מיליון. אלה תקרות, לא כסף שכבר נמצא בקופה, וטת'ר אמרה שההון ייכנס בהדרגה ובהתאם לביצועי הפלטפורמה. אפשר גם לפדות חלק ולהשאיר חלק, או למכור את הטוקנים בבורסה מבוזרת כמו Raydium. הדדליין לתביעת DFX הוא 1 בינואר 2028, ואחריו טוקנים שלא נדרשו יישרפו.

התיקונים בביטקוין שמשתמשים עצמאיים צריכים להכיר

שני עדכונים מהשבוע נוגעים ישירות למי שמנהל ביטקוין בעצמו. צוות Core Lightning, תוכנת צומת לרשת הלייטנינג, הודיע ב-2 באוקטובר שהוא מקבל דיווחים על תוקפים שמכוונים לצמתים לא מעודכנים, והורה לכל מי שמריץ גרסה 26.06.7 או ישנה יותר לשדרג מיד. הגרסה 26.06.8 מ-22 בספטמבר תיקנה, בין השאר, באג בסגירת ערוצים שעלול לגרום לאובדן כספים בקנס.

בנוסף, מפתחי Bitcoin Core מיזגו ב-25 בספטמבר הגנה שמונעת חתימה על עסקאות PSBT במצב SIGHASH_SINGLE כשאין פלט מתאים. במקרה כזה החתימה תקפה, אבל לא מחייבת את הנמען שהמשתמש אישר, כך שארנק יכול להציג תשלום אחד ולהפיק חתימה שמאפשרת לשנות את היעד. המפתח הפרטי לא דולף. לפי CryptoSlate, נכון ל-4 באוקטובר התיקון עוד לא נכלל בגרסה רשמית. גם MetaMask הודיעה על "אירוע אבטחה" בתשתית ומוציאה את האת'ר שלה מהמאמתים של Lido. לדבריה אין סכנה מיידית לארנקי המשתמשים, אבל ההוצאה עשויה להימשך עד 45 יום.

מה משקיע ישראלי עושה עם השבוע הזה

ההבדל בין NEAR Intents ל-Drift נובע בעיקר ממבנה הפרויקט. בבורסה מרכזית עם קרן הגנה גדולה, כמו Bitget, הלקוח מוגן כל עוד לבורסה יש כסף. בפרוטוקול DeFi אין קרן כזו כברירת מחדל, וההחזר תלוי ברצון הטוב של התוקף או בהכנסות עתידיות של הפרויקט. לפני שמפקידים סכום משמעותי בפרוטוקול, כדאי לבדוק אם יש לו קרן ביטוח, מה הגודל שלה ביחס לכסף שהוא מחזיק, ומה קרה בפריצות קודמות שלו.

מי שמחזיק טוקן החזר כמו DFX צריך לתעד את ההפסד המקורי ואת כל פדיון חלקי, כי ההחלטה מתי לפדות היא גם החלטה מתי לקבע את ההפסד. איך רשות המסים מתייחסת להפסד מפריצה תלוי בנסיבות, ופירטנו את העקרונות הכלליים במדריך המס שלנו. מי שמריץ צומת לייטנינג או חותם עסקאות בארנק חומרה עם תוכנת תיאום צריך לבדוק עכשיו את הגרסה, ולא לחכות לגרסה הבאה של Bitcoin Core. ומי שרוצה לצמצם את התלות בכל הגורמים האלה יכול להחזיק את רוב הביטקוין בארנק קר, מחוץ לבורסות ולפרוטוקולים.

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ השקעות, ייעוץ מס או ייעוץ אבטחה.