Isang Hash Collision ang Pinalis Lang ang 96% ng MAPO – Narito Ang Nangyari

Ang MAPO ay bumagsak sa mahigit 96% pagkatapos ng pagsasamantala ng hash collision sa Butter Bridge na hinayaan ng isang attacker na makapag-mint ng halos 1 quadrillion token. Sinuspinde na ngayon ng MAP Protocol ang kalakalan at nagpaplano ng bagong kontrata.

Hindi dahan-dahang dumugo ang token. Ang MAPO ay bumaba ng higit sa 96% sa loob ng ilang oras matapos ang isang umaatake ay makahanap ng paraan para kumbinsihin ang Butter Bridge na naproseso na nito ang isang lehitimong transaksyon.

Na-flag ng security firm na Blockaid ang insidente sa X, na kinilala ang target bilang Butter Bridge V3.1, na kilala rin bilang OmniServiceProxy. Ayon sa Blockaid sa X, nilinlang ng attacker ang tulay sa parehong Ethereum at BSC, na nag-minting ng humigit-kumulang 1 quadrillion MAPO token nang direkta sa isang bagong wallet. Ang lehitimong suplay ng sirkulasyon ay humigit-kumulang 208 milyon. Ang matematika lang na iyon ang nagpapaliwanag sa karamihan ng pagkilos sa presyo.

Ang Bug na Walang Na-flag Hanggang sa Huli Na

Ang pangunahing dahilan ay hindi isang pangunahing pagtagas. Hindi ito problema sa sariling kontrata ng MAPO. Per Ang teknikal na breakdown ng Blockaid sa X, ang tulay na na-authenticate na cross-chain na mensahe ay muling ginagamitkeccak256(abi.encodePacked(…))sa apat na magkakasunod na dynamic-bytes na field. Ang problema:abi.encodePackedhindi nagdaragdag ng mga prefix ng haba. Ang iba’t ibang mga paglalaan ng field ay maaaring makagawa ng eksaktong parehong byte string, at samakatuwid ay ang eksaktong parehong hash.

Ang umaatake ay nagtanim ng isang tunay na mensaheng MAP-to-ETH na nilagdaan ng oracle na tumuturo sa isang paunang na-compute na address. Wala pang kontrata doon. Nag-cache ang tulay ng “NotContract” na muling pagsubok. Pagkatapos ay na-deploy ang exploit contract sa eksaktong address na iyon.

Ang sumunod ay isang tatlong hakbang na pagkakasunud-sunod. Per Blockaid sa X, tawag ng umaatakeretryMessageIngamit ang muling inayos na mga hangganan ng field na naka-pack sa magkaparehong 601-byte na string. Parehong hash, parehong guard pass. Nag-mint ang tulay ng 10^15 MAPO diretso sa wallet ng attacker.

Pinagsasamantalahan ng cross-chain bridge ang paggawa ng mga hindi awtorisadong tokenay naging isang umuulit na pattern sa buong imprastraktura ng DeFi ngayong taon.

52 ETH Wala na. Halos Isang Quadrillion Token ang Nakaupo pa Doon

Mabilis na kumilos ang umatake. Nakumpirma ang blockaid sa Xna 52.21 ETH, humigit-kumulang $180,000, ay na-drain mula sa Uniswap V4 ETH/MAPO pool pagkatapos ng humigit-kumulang 1 bilyong MAPO ay itinapon dito. Mukhang malaki ang numerong iyon. Mas mababa din ito sa 0.001% ng hawak ng umaatake.

Humigit-kumulang 999.999 bilyong MAPO ang nanatili sa wallet ng umaatake sa oras ng pag-uulat, bawat Blockaid. Ang transaksyon sa pagsasamantala ay makikita sa Etherscan sa 0x31e56b4737649e0acdb0ebb4eca44d16aeca25f60c022cbde85f092bde27664a. Ang address ng attacker ay 0x40592025392BD7d7463711c6E82Ed34241B64279at ang kontrata ng pagsasamantala ay nakaupo sa 0x2475396A308861559EF30dc46aad6136367a1C30.

Kinumpirma ng MAP Protocol ang kamalayan sa X sa parehong araw. Sinabi ng MAP Protocol sa Xna alam at nakikipag-ugnayan ang team sa mga panlabas na kasosyo sa seguridad sa pagsisiyasat at pagpigil. Na-pause ang tulay sa pagitan ng MAPO ERC-20 at mainnet MAPO.

Ang MAP Protocol ay Gumagalaw upang I-invalidate ang Attacker Holdings

Nang sumunod na araw, lumipat ang tugon mula sa containment patungo sa structural overhaul. Inanunsyo ng MAP Protocol sa Xang pagsususpinde ng lahat ng serbisyo ng conversion sa pagitan ng mga token ng MAPO sa orihinal na address ng kontrata ng ERC20 na 0x66d79b8f60ec93bfce0b56f5ac14a2714e509a99 sa parehong BSC at Ethereum network at MAPO sa MAP Protocol mainnet.

Ang lahat ng nauugnay na palitan ay naabisuhan na huwag paganahin ang mga deposito at pag-withdraw para sa mga token na ito, sinabi ng koponan. Binalaan ang mga user na iwasan ang pangangalakal ng MAPO na nauugnay sa orihinal na kontrata sa mga desentralisadong platform, kabilang ang Uniswap at PancakeSwap.

Ipa-publish ang isang bagong address ng kontrata. Ang isang snapshot ay kukunin sa isang petsa na itinuturing ng proyekto na naaangkop. Anumang mga token na hawak pa rin ng mga address na kontrolado ng attacker, na sa puntong ito ay umaabot sa daan-daang bilyon, ay ganap na hindi isasama sa anumang conversion o snapshot sa hinaharap.

Ang MAP Protocol ay nabanggit din sa X, sa isang follow-up na kinikilala ang pagsubaybay ng PeckShield sa insidente, na ang koponan ay nakikipag-ugnayan sa mga palitan at mga kasosyo mula noong paglabag. Isang opisyal na pahayag na sumasaklaw sa mga susunod na hakbang, mga detalye ng snapshot, at ang bagong kontrata ay inihahanda.

Ang mga pagkabigo sa tulay ay nagdulot ng hindi katimbang na bahagi ng pagkalugi ng crypto noong 2026, na may mga umaatake na patuloy na nagta-target sa mga interseksyon kung saan nag-o-overlap ang automation at tiwala.

Ang mga gumagamit ay pinayuhan ng proyekto na umasa lamang sa mga opisyal na channel. Ang hindi opisyal na patnubay, ang babala ng koponan, ay dapat na ganap na balewalain.

Pinagmulan: Live Bitcoin News