Токен MAPO обвалился после масштабного взлома кроссчейн-моста

В криптосекторе зафиксирован очередной инцидент безопасности: MAPO, нативный токен экосистемы Map Protocol, резко подешевел после атаки на кроссчейн-мост Butter Network. По данным расследований, злоумышленник получил возможность выпускать MAPO в объёмах, кратно превышающих легитимное предложение в обращении. Сообщается, что через уязвимость на уровне смарт-контрактов Solidity атакующий смог наминтить около одного квадриллиона (10^15) MAPO. Это быстро обрушило котировки: цена упала примерно с $0,003 до почти $0,0001 за несколько часов. По оценке компании Blockaid, для слива активов злоумышленник использовал новый externally owned account и вывел в пулы ликвидности Uniswap около 1 млрд MAPO, что позволило изъять порядка 52 ETH — примерно на $180 000 на момент атаки. Несмотря на уже выведенную ликвидность, у атакующего, как утверждается, остаётся около 1 трлн MAPO. Это усилило опасения, что под угрозой могут оказаться другие DEX, пулы ликвидности и даже листинги на централизованных биржах, если оставшиеся токены будут перемещены или распроданы. Инцидент произошёл на фоне сложного месяца для DeFi: по сообщениям, как минимум 18 протоколов столкнулись со взломами или эксплойтами. Среди недавних пострадавших назывались THORChain, Transit Finance, Echo Protocol, TrustedVolumes, Ethereum-мост Verus Protocol, Ekubo и RetoSwap. Map Protocol подтвердил, что первопричина связана с уязвимостью в контрактном слое Solidity, а не с компрометацией приватных ключей или проблемами light clients. Согласно анализу Blockaid, атакующий сначала отправил корректное сообщение oracle, подписанное multisig, затем развернул вредоносный контракт на целевом адресе и повторно отправил модифицированное retry-сообщение. Оно выглядело валидным, поскольку формировало идентичную структуру хеша, что позволило мосту авторизовать массовый выпуск токенов. В ответ Map Protocol приостановил работу mainnet и объявил о запуске процесса миграции, пока продолжается расследование. Butter Network также остановила ButterSwap, заявив, что средства пользователей напрямую не подвергались риску. Проект пообещал вскоре опубликовать новый адрес контракта и провести снимок активов для поддержки миграции токенов. Токены, связанные с кошельками, контролируемыми атакующим, будут признаны недействительными и исключены из будущих конвертаций.