Протокол кросс-чейн ликвидности CrossCurve, партнёр экосистемы Curve Finance, стал жертвой атаки на сумму около 3 миллионов долларов. Злоумышленник воспользовался уязвимостью в одном из смарт-контрактов моста, чтобы подделать межсетевые сообщения и обойти систему валидации Axelar — ключевого компонента инфраструктуры безопасности.
⚠️ Суть атаки: вызов функции expressExecute с поддельным сообщением позволил разблокировать токены без прохождения шлюза Axelar.
Согласно данным от команды безопасности Decurity и её проекта Defimon Alerts, уязвимость находилась в контракте ReceiverAxelar. Злоумышленник смог:
expressExecute напрямуюЭто классический пример обхода валидации — когда механизм доверия (в данном случае Axelar) игнорируется из-за неправильной архитектуры контракта.
«Безопасность моста — это не сумма частей. Это цепь, и она рвётся в самом слабом звене», — Виталик Бутерин, сооснователь Ethereum.
Генеральный директор CrossCurve Борис Повар оперативно опубликовал список из 10 адресов, на которые были переведены украденные средства, и предложил хакеру 10% вознаграждения за возврат активов в течение 72 часов.
В своём обращении он подчеркнул:
«Мы не считаем, что это было сделано с преднамеренным злым умыслом. Возможно, вы просто нашли уязвимость и воспользовались ею. Верните средства — и мы закроем вопрос».
Однако если возврата не последует, команда готова:
По данным SlowMist, в 2025 году общие потери от хакерских атак в криптосфере составили $3,3 млрд, причём две крупнейшие атаки на цепочки поставок принесли злоумышленникам $1,45 млрд.
Мосты остаются самым уязвимым элементом DeFi:
Причина проста: мосты объединяют доверие нескольких сетей, создавая сложные поверхности атаки.
Curve Finance, чьё имя связано с CrossCurve через партнёрство, рекомендовала пользователям:
«Если вы голосовали за пулы CrossCurve, рассмотрите возможность отмены этих голосов и пересмотра своих позиций».
Команда также напомнила, что все сторонние проекты несут собственные риски, и призвала сообщество «принимать решения с учётом риска».
Если вы взаимодействовали с CrossCurve, примите следующие меры:
Инцидент с CrossCurve подчёркивает необходимость:
expressExecute без многоуровневой защитыПока мосты будут строиться как наборы доверия, а не как системы доказательств, они останутся главной мишенью для хакеров.
