Nesa: взлом «на $50 млн», который обернулся примерно 109 ETH на KuCoin

Nesa — сеть на Cosmos EVM. Ошибка, которую Cosmos Labs тихо исправила 19 августа, позволяла довести EVM-баланс вестинг-аккаунта до переполнения и с помощью получившегося значения забрать настоящий баланс другого аккаунта. MANTRA взломали 20 августа, TAC и KiiChain — 22-го, Nesa — 24-го. Узлы и обозреватель Nesa упали, поэтому единственная запись, которую можно прочитать, — в Ethereum: доставка Hyperlane, выпустившая 257 703 733 NES на 0x9AE755D23Fc948fE94C9364A2398fd508a2AB0d2, — адрес, который rekt.news и исследователь Rarma называют адресом атакующего.

До всего этого тот же адрес получил 105,75 ETH через мост Mayan Swift — 24 августа с 02:59 до 03:45 UTC — и потратил 105,02 ETH на покупку NES через CoW Swap. Это примерно 1,1 млн NES, которые атакующий затем внёс в Nesa, чтобы запустить ошибку. Сколько бы ни стоили выведенные NES на бумаге, атакующий уже вложил 105 ETH.

Выпущенные NES разделили. Основной адрес передал 170,3 млн NES второму кошельку, 0xB92dF70F3d25eD25265c7C341C9D2550c42Ff83A, а часть продал сам через CoW Swap, 1inch и другие агрегаторы. Часом раньше он разослал по 5 млн NES на четыре свежих кошелька — 0x231Bff3C…, 0x20cD837c…, 0x80c17107… и 0x9b49E12a… (два последних первым опубликовал Bubblemaps). Три сразу переслали NES кошельку-продавцу; 0x231Bff3C… сначала продал около 3,5 млн через CoW Swap и отправил продавцу 11,18 ETH вместе с остатком. Оба основных кошелька ещё и сжигали NES — 26,1 млн и 45,3 млн, — по крайней мере часть из них как перевод Hyperlane обратно в Nesa, который остановленная сеть так и не получила.

Если сложить весь ETH, вернувшийся с продаж, — около 71 ETH на основном адресе, около 25 ETH на кошельке-продавце и ещё 12 ETH от вспомогательного кошелька, — выходит примерно 109 ETH против 105 ETH, вложенных в начале. При цене около $2 750 за ETH это порядка $300 тыс., а не $50 млн.

25 августа основной адрес отправил 108,7 ETH на 0x2816039940Fd2ea2eCAfce843CB2cC39E73f3fD6, а тот передал 110 ETH на 0x83C85C3C045aeDEBd81a678a3FFD52794Af6B414. Этот адрес в то же утро заплатил на четыре депозитных адреса KuCoin, и биржа собрала их в свои горячие кошельки. Депозит на бирже — единственная точка этого следа, где блокчейн встречается с идентифицированным счётом.

0x83C85C3C… также получил около 104 000 USDC и 52 ETH 21 августа — за три дня до Nesa и через день после MANTRA. Это зацепка, а не вывод: мы не связали эти деньги с атакующим MANTRA, и эта страница такого не утверждает.

Одна небольшая ветка ушла в другую сторону. 24 августа в 14:01 UTC основной адрес отправил 500 000 NES на 0x5d4de48E97f9255C43193515b2B354e399f997B6, а тот через десять минут переслал их на горячий кошелёк ChangeNOW. Газ на него пришёл с sweep-адреса самой ChangeNOW: это депозит ChangeNOW, созданный под один обмен. В 14:14 в истории атакующего появился нулевой перевод на похожий адрес 0x5d4d3e94…97B6 — чужой бот отравления адресов пытался сделать жертвой самого атакующего.

Восемь кошельков атакующего из этого следа — основной, кошелёк-продавец, четыре промежуточных и два адреса сведения — помечены в PublicAML. Депозитные адреса KuCoin и ChangeNOW — нет: они принадлежат биржам.