Из b14g на Core украли 97 млн CORE, около $1,5 млн

31 октября в 12:29 МСК (09:29 UTC) из стейкинг-платформы b14g, работающей на сети Core, без разрешения вывели около 97 млн CORE. По оценке аналитиков Bitquery, это около $1,47 млн. Команда b14g сообщила, что приостановила затронутые контракты, а BTC, застейканные через b14g, остаются заблокированными в сети Биткоина и не пострадали.

Подробности

Как разобрал Bitquery, одной транзакцией в 12:29 МСК атакующий отправил 99 заявок на вывод нуля CORE по 91 стейкинг-позиции, которые сам не финансировал. Стейкинг-код Core трактует нулевую сумму как «забрать всё доступное», а контракт b14g не проверил такой ввод, поэтому позиции выплатили полностью: 97,05 млн CORE. Оценка в $1,47 млн взята по цене $0,0151 за токен перед атакой.

По данным b14g, около 68 млн CORE остаются в сети Core, а биржи-партнёры заморозили около 9 млн CORE, связанных с атакующим. Bitquery видит часть средств на кошельках Bybit, MEXC и Gate.io; к вечеру 31 октября около 70% так и не сдвинулись с адресов атакующего. Контракты остановили около 13:35 МСК, через час после кражи. Команда обещает подробный разбор причин и план для пострадавших пользователей, сроков и компенсации пока нет.

Команда Core в заявлении подчёркивает: сеть, валидаторы и контракты стейкинга работали штатно, а CORE, отданные напрямую валидаторам или через другие протоколы, не затронуты. Core называет b14g протоколом рестейкинга и доходности на Core и Babylon и помогает замораживать средства.

Что это значит для рынка

Это взлом уровня одного протокола, а не сети: потери невелики по меркам месяца, в котором случился взлом Binance. Но случай показывает риск «стыков»: уязвимость возникла в логике, которая принимает данные от базового контракта, и, судя по разбору Bitquery, оставалась в коде около 17 месяцев.

Для держателей BTC главное: застейканный через b14g биткоин по заявлению команды не затронут, потери коснулись только токенов CORE. Цены монет — в сводке дня.

Подробная хроника — в нашей статье.