Взлом b14g: как украли 97 млн CORE и что известно сейчас

31 октября в 12:29 МСК из стейкинг-платформы b14g на сети Core одной транзакцией вывели 97,05 млн CORE. По цене до атаки, $0,0151 за токен, это около $1,47 млн, подсчитали аналитики Bitquery. Атакующий не взламывал ключи и не подменял код. Он отправил заявки на вывод нуля токенов, а платформа выплатила по ним всё. BTC, застейканный через b14g, по словам команды не пострадал.

Что известно сейчас

• Украдено 97 045 563 CORE (≈$1,47 млн по цене до атаки) из 91 стейкинг-позиции пользователей b14g (Bitquery).
• Контракты b14g на паузе с 13:35 МСК 31 октября. Команда обещает подробный разбор причин и план для пострадавших. Сроков, компенсации и награды за возврат пока нет.
• По данным b14g, около 68 млн CORE остаются в сети Core, а биржи-партнёры заморозили около 9 млн CORE, связанных с атакующим. Bitquery подтверждает, что к вечеру 31 октября 68,15 млн CORE (70%) не двигались. Заморозку на биржах по блокчейну проверить нельзя.
• Core заявила, что сеть, валидаторы и стейкинг-контракты работали штатно. CORE, застейканные напрямую у валидаторов или через другие протоколы, не затронуты.
• Атакующий не опознан. Новых заявлений b14g и Core после 31 октября на момент последней проверки не было.

Как это произошло

b14g позволяет застейкать CORE и BTC вместе, чтобы получать повышенную доходность: биткоин при этом остаётся на тайм-локе в сети Биткоина, а CORE лежат в «ордерах» b14g. Каждый ордер — отдельный контракт, который держит CORE у валидатора Core.

По разбору Bitquery, атакующий одной транзакцией отправил 99 заявок на вывод нуля CORE по 91 чужому ордеру, в которые сам ничего не вносил. Стейкинг-код Core трактует запрос на ноль как «вывести всё, что есть у стейкера». Контракт b14g такой ввод не отсёк и не проверил, кому принадлежит ордер, поэтому каждый ордер выплатил всё, что в нём было, на кошелёк атакующего.

Bitquery отмечает, что код b14g не публиковался, поэтому найти конкретную ошибочную строку аналитики не смогли: вывод сделан по записям транзакций. Признаков кражи ключей или свежего обновления кода тоже нет. Логика контракта, работавшая в момент атаки, не менялась 17 месяцев. Кошелёк атакующего был новым и до атаки с b14g не взаимодействовал. Почти половина ордеров (48 из 91) дала 90% украденного, самый крупный — 2,04 млн CORE.

Хроника

• 31 октября, 12:00 МСК. Новый кошелёк атакующего (A) получает 615,62 CORE на комиссии от сервиса, который Bitquery называет «сервис Y».
• 31 октября, 12:29 МСК. Одна транзакция с 99 заявками на вывод нуля опустошает 91 ордер b14g: 97,05 млн CORE уходят на кошелёк A.
• 31 октября, 12:37⁠–⁠13:10 МСК. Через 15 новых адресов с кошелька A уходит часть средств: на горячий кошелёк Bybit, к сервисам X и Y.
• 31 октября, 13:15⁠–⁠14:15 МСК. Сервис Y переводит 11,16 млн CORE на депозитный адрес MEXC.
• 31 октября, 13:35 МСК. b14g ставит контракты на паузу — через 66 минут после кражи.
• 31 октября, 13:36 МСК. Кошелёк A переводит оставшиеся 73,65 млн CORE на второй кошелёк атакующего (B).
• 31 октября, 19:38 МСК. b14g публикует заявление: около 97 млн CORE выведены без разрешения, около 68 млн остаются в сети, биржи заморозили около 9 млн, BTC не пострадал. Команда называет два адреса атакующего.
• 31 октября, 20:24 МСК. Core заявляет, что сеть в безопасности и помогает b14g и биржам отслеживать и замораживать средства.
• 31 октября, 22:43 МСК. По последнему замеру Bitquery кошелёк B держит 63,65 млн CORE, ещё 4,5 млн лежат на двух новых кошельках без движения. CORE торгуется по $0,0139, на 8,5% ниже, чем сутками раньше.
• 1 ноября, 00:00 МСК. Bitquery публикует расследование с путём средств и адресами.

Куда ушли деньги

Адреса атакующего, которые назвала b14g:

• кошелёк A: 0xc556ed208285406d71705927f92d4f4eaea579f1
• кошелёк B: 0x27758c30f8e424fbd8ca605bf31e9496c26ce92c

Распределение 97,05 млн CORE на 22:43 МСК 31 октября, по данным Bitquery:

Итого 68,15 млн CORE (70%) не двигались, 28,9 млн (30%) дошли до бирж и сервисов. Сервис X переправил 6,08 млн на депозитные адреса Bybit и Gate.io и к вечеру ещё держал 9,34 млн. Сервисы X и Y работают и с чужими монетами, поэтому их дальнейшие переводы смешаны с деньгами других клиентов. Миксеров и мостов в разборе Bitquery нет.

Что сделали команда и биржи

b14g остановила затронутые контракты и, по её словам, вместе с Core, партнёрами по безопасности и биржами отслеживает средства и координирует заморозку. Сколько и на каких именно биржах заморожено, команда не уточняла, кроме общей цифры около 9 млн CORE. Core поддерживает b14g и биржи: по её словам, биржи замораживают депозиты, связанные с атакующим. Награду за возврат средств и переговоры с атакующим никто не объявлял.

Что это значит для держателей

Потери касаются только CORE, застейканных через b14g. По заявлению команды, биткоин, застейканный через платформу, остаётся на тайм-локе в сети Биткоина и не затронут. Стейкинг CORE напрямую у валидаторов и через другие протоколы, по заявлению Core, работает штатно. Как b14g поступит с пострадавшими ордерами, станет ясно после обещанного разбора. Если большую часть средств, которые ещё лежат на адресах атакующего и заморожены на биржах, удастся вернуть, потери могут оказаться заметно меньше 97 млн CORE. Гарантий этого пока нет.

Подробности первых часов — в нашей новости, живая цена биткоина — в сводке дня.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 1 ноября, 23:10 МСК.