Взлом Autheo THEO: два необеспеченных минта, 119 млн токенов и около 292 ETH добычи, а не 700

THEO — токен Autheo. В сети Base он существует как токен моста Hyperlane (0xebe516a20238F79dc20b07ead6768e08891Ed309): токены выпускаются в Base, когда приходит сообщение о том, что такая же сумма заблокирована в сети Autheo. Defimon Alerts указал, что маршрут принимал сообщения через TrustedRelayerIsm, модуль безопасности, доверяющий одному-единственному релейеру, и назвал минт 12 октября необеспеченным. PeckShield сообщил о выпуске 19 млн THEO, обменянных на 700,8 ETH, около $1,76 млн. Цена THEO за сутки упала примерно на 92%, а Autheo попросил держателей не покупать, не продавать и не переводить токен через мост.

Ниже то, что показывают кошельки. Данные прочитаны нами 14 октября 2026 года.

В 16:45 и 16:46 UTC адрес-получатель, 0x3048b4Ee5A070F33b73E3401829847255079E0AD, обычным способом отправил из Base в сеть Autheo 250 и 25 THEO на два других адреса. Через двадцать минут, в 17:06, контракт моста в Base выпустил на него 19 000 000 THEO. В 17:45 он выпустил на тот же адрес ещё 100 000 000 THEO. Оба выпуска пришли сообщениями, в которых источником указана сеть Autheo, и оба доставил 0xeF305Ec5DF4054B15295A0389787bf671Ab930CE — релейер, который с 23 июля доставил 378 сообщений в почтовый контракт Hyperlane в Base и после атаки продолжил доставлять обычные.

В сообщениях упомянут только первый минт. Сеть Autheo нам отсюда не прочитать, поэтому мы не можем сказать, подделаны ли эти два сообщения на стороне релейера или по ошибке выпущены в исходной сети. В Base оба были приняты как настоящие.

Первые 19 млн THEO проданы через роутер Hydrex четырьмя обменами с 17:16 до 17:17 UTC за 280,70 ETH. В 17:18 адрес отправил 280,45 ETH в мост Relay, и через восемь секунд тот же адрес в Ethereum получил 278,52 ETH.

Из второго минта продано всего 6,49 млн THEO, с 17:47 до 17:50, за 11,04 ETH: цена к тому времени уже рухнула. Они тоже ушли через Relay, в 17:52 в Ethereum пришли 11,21 ETH. Всего продажи THEO дали 291,7 ETH, около $730 тыс. по курсу того дня. Ещё 0,1 ETH ушли из Base в Robinhood Chain.

После мостов на кошельке в Ethereum было 700,81 ETH. Это число и попало в сообщения. Но кошелёк начинал не с нуля. Первые деньги на него пришли 5 октября: 414,4 ETH одним переводом с 0xf77331B2893B275A5C58F97723469837A25fa574, который перевёл на него всё, что имел. Тот кошелёк, в свою очередь, получил 281,4 ETH через мост NEAR Intents 30 сентября и 174,6 ETH с другого кошелька 5 октября.

С 5 по 12 октября новый кошелёк отправил через Relay около 77 ETH, в основном суммами по 3–9 ETH, а утром 12 октября получил ещё 68,4 ETH через NEAR Intents. Непосредственно перед атакой на нём было 400,8 ETH. Значит, большая часть «700,8 ETH» не была отнята у держателей THEO. Эти деньги лежали на кошельке неделю и пришли из другого места. Откуда они пришли до NEAR Intents, мы не прослеживали.

В 17:57 UTC атакующий отправил 93 510 011 THEO, почти весь второй минт, на 0x690d7552375Fcd23Bd2a5E1d74f7445FAdfc6c83. Они до сих пор там. Этот кошелёк не новый: он используется в Base с сентября 2024 года, в основном для мелких обменов и переводов через мосты. Его девять раз пополняли с горячего кошелька Binance и семь раз с горячего кошелька MEXC — так выглядят выводы с биржевого счёта. За минуту до получения 93,5 млн он сам купил в пуле 15 364 THEO. 13 октября он трижды выдавал разрешение контракту THEO, но не продавал.

Получение токенов не делает владельца кошелька атакующим: кто угодно может отправить что угодно на любой адрес. Но этот перевод сделал сам атакующий, намеренно, с той частью добычи, которую не удалось продать. Binance и MEXC могут сказать, кто выводил средства на этот адрес.

14 октября на кошельке атакующего в Ethereum всё ещё было 686,23 ETH. В 05:32 UTC того же дня он отправил 14,56 ETH на 0xc703C9bF559F8f9E2128F9366688f59D398af1e2 — кошелёк, которому уже платил 5,115 ETH 5 октября, в свой первый день. В миксеры пока ничего не ушло.

Через несколько минут после каждого крупного перевода посторонние присылали на этот кошелёк нулевые транзакции и пыль с адресов, у которых начало и конец совпадают с настоящими контрагентами. Это отравление адресов. Копируя адрес из его истории, проверяйте каждый символ.

Мы отметили в своей базе 2 адреса в Ethereum как принадлежащие атакующему: кошелёк, получивший выпущенные токены и переведший выручку через мост, и кошелёк, которому он платил 5 и 14 октября. Раньше ни один из них отмечен не был. Мы не отмечали кошелёк с 93,5 млн THEO, старый кошелёк, пополнивший атакующего 5 октября, релейер, мосты и роутер: блокчейн связывает их с атакующим, но не показывает, кто ими управляет.

Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не говорит, кто атакующий, как были созданы два сообщения, и не утверждает, что Autheo, Hyperlane, Relay, Hydrex, NEAR Intents, Binance или MEXC сделали что-либо незаконное. Механика описана Defimon Alerts; о минте 19 млн и цифре 700,8 ETH первым сообщил PeckShield. Второй минт, 291,7 ETH, которые на самом деле дали продажи, 400 ETH, лежавшие на кошельке до атаки, и кошелёк, получивший непроданные токены, наши, данные прочитаны 14 октября 2026 года.