Одна колізія хешу просто знищила 96% MAPO – ось що сталося

MAPO знизився більш ніж на 96% після експлойти колізії хешу на Butter Bridge, що дозволило зловмиснику створити майже квадрильйон токенів. MAP Protocol тепер призупинив торгівлю та планує новий контракт.

Токен не зменшувався повільно. MAPO впав більш ніж на 96% за кілька годин після того, як зловмисник знайшов спосіб переконати Butter Bridge, що він уже обробив легітимну транзакцію.

Компанія з безпеки Blockaid повідомила про інцидент у X, визначивши ціль як Butter Bridge V3.1, також відомий як OmniServiceProxy. За словами Blockaid у X, зловмисник обдурив місто як на Ethereum, так і на BSC, створивши приблизно квадрильйон MAPO токенів безпосередньо на новий гаманець. Легітимний обіг становив близько 208 мільйонів. Саме ця математика пояснює більшу частину цінових коливань.

Помилка, яку ніхто не помітив, поки не стало занадто пізно

Основною причиною була не витік ключів. Це не була проблема з власним контрактом MAPO. За технічним аналізом Blockaid у X, міст автентифікував повторні міжланцюгові повідомлення, використовуючи keccak256(abi.encodePacked(…)) через чотири послідовні поля з динамічними байтами. Проблема: abi.encodePacked не додає префікси довжини. Різні розподіли полів можуть давати однаковий байтовий рядок і, відповідно, однаковий хеш.

Зловмисник вставив справжнє повідомлення MAP-to-ETH, підписане оракулом, що вказувало на попередньо обчислену адресу. Там ще не існувало контракту. Міст зберігав повторне спробу “NotContract”. Потім був розгорнутий контракт експлойти саме на цій адресі.

Наступною була трьохетапна послідовність. За словами Blockaid у X, зловмисник викликав retryMessageIn, використовуючи змінені межі полів, що пакувалися у ідентичний 601-байтовий рядок. Такий самий хеш, той самий пропуск перевірки. Міст створив 10^15 MAPO безпосередньо на гаманець зловмисника.

Вразливості міжланцюгових мостів, що дозволяють створювати несанкціоновані токени, стали повторюваним шаблоном у DeFi-інфраструктурі цього року.

52 ETH зникли. Майже квадрильйон токенів досі там

Зловмисник діяв швидко. Blockaid підтвердив у X, що 52.21 ETH, приблизно 180 000 доларів, було виведено з пулу Uniswap V4 ETH/MAPO після того, як у нього було скинуто близько 1 мільярда MAPO. Це число здається великим. Але воно менше ніж 0.001% від того, що зловмисник тримав.

Приблизно 999.999 мільярда MAPO залишалося у гаманці зловмисника на момент звіту, за даними Blockaid. Транзакція експлойти видима на Etherscan за адресою 0x31e56b4737649e0acdb0ebb4eca44d16aeca25f60c022cbde85f092bde27664a. Адреса зловмисника — 0x40592025392BD7d7463711c6E82Ed34241B64279, а контракт експлойти розміщений за адресою 0x2475396A308861559EF30dc46aad6136367a1C30.

MAP Protocol підтвердив обізнаність у X у той самий день. MAP Protocol повідомив у X, що команда була поінформована та координувала з зовнішніми партнерами з безпеки щодо розслідування та обмеження поширення. Міст між MAPO ERC-20 і основною мережею MAPO було призупинено.

MAP Protocol рухається до анулювання володінь зловмисника

Наступного дня відповідь змістилася від локалізації до структурної перебудови. MAP Protocol оголосив у X про призупинення всіх сервісів конвертації між токенами MAPO на початковій адресі контракту ERC20 0x66d79b8f60ec93bfce0b56f5ac14a2714e509a99 у мережах BSC та Ethereum і MAPO на основній мережі MAP Protocol.

Всі відповідні біржі були повідомлені про необхідність відключити депозити та зняття для цих токенів, заявила команда. Користувачам було рекомендовано уникати торгівлі MAPO, пов’язаним із оригінальним контрактом, на децентралізованих платформах, включаючи Uniswap і PancakeSwap.

Новий адрес контракту буде оприлюднено. Знімок стану буде зроблено у зручний для проекту час. Всі токени, що залишилися на адресах, контрольованих зловмисником, яких наразі налічується сотні мільярдів, будуть повністю виключені з будь-яких конвертацій або майбутніх знімків.

MAP Protocol також зазначив у X, у подальшому, визнаючи відстеження PeckShield щодо інциденту, що команда з початку співпрацювала з біржами та партнерами. Офіційна заява щодо наступних кроків, деталей знімка та нового контракту готувалася.

Збої мостів спричинили непропорційний обсяг криптовтрат у 2026 році, оскільки зловмисники постійно цілеспрямовано атакували перехрестя, де автоматизація та довіра перетинаються.

Користувачам рекомендували довіряти лише офіційним каналам. Неофіційні поради, попередила команда, слід ігнорувати повністю.