В Hyperbridge взломщик выпустил 1 млрд токенов bridged DOT и вывел $237 тыс.

Хакер атаковал кроссчейн-протокол Hyperbridge в экосистеме Polkadot, получив около $237 000 и вновь подняв вопросы безопасности мостов между блокчейнами.

По данным, опубликованным платформой кибербезопасности CertiK, злоумышленник в одной транзакции выпустил 1 млрд токенов bridged Polkadot (DOT) в Hyperbridge.

В CertiK заявили, что хакер смог провести выпуск токенов после того, как «протолкнул поддельное сообщение, чтобы сменить администратора контракта токена Polkadot в сети Ethereum». Из-за низкой ликвидности пула bridged DOT в Ethereum прибыль атакующего после обмена составила лишь 108,2 Ether (ETH) — примерно $237 000.

Исследователи Blocksec Phalcon считают, что вероятной причиной стала уязвимость повторного использования доказательства Merkle Mountain Range (MMR) из-за отсутствия привязки proof к запросу, однако протокол пока не подтвердил окончательную причину.

После инцидента Hyperbridge приостановил работу на время подготовки обновления. Участник команды под ником Web3 Philosopher сообщил, что первичная проверка указывает на вредоносное доказательство, которое обмануло верификатор Merkle-дерева. Мосты позволяют переносить токены и данные между разными сетями.

Случай привлек внимание, поскольку Hyperbridge позиционировал себя как слой интероперабельности на доказательствах, рассчитанный на «безопасность уровня полного узла» для кроссчейн-мостов.

Как отметили в Polkadot в публикации в X, атака затронула только DOT в сети Ethereum, переведенный через Hyperbridge; нативные DOT и остальная экосистема Polkadot не пострадали.

Нативный токен DOT в понедельник кратковременно снижался до $1,16, после чего восстановился и торговался выше $1,19, согласно данным CoinGecko.

SubQuery Network тоже пострадала от атаки на $130 000

Инциденты с безопасностью продолжают происходить в криптопротоколах, несмотря на заметное снижение потерь от взломов DeFi год к году.

В воскресенье протокол индексации данных SubQuery Network также был взломан примерно на $130 000 из-за недостаточного контроля доступа, связанного с кодом, написанным более двух лет назад.

По словам аудитора безопасности блокчейна Pashov, уязвимость позволила атакующему назначить свой контракт получателем вывода наград за стейкинг.

В первом квартале 2026 года хакеры похитили более $168 млн у 34 DeFi-протоколов — значительно меньше, чем $1,58 млрд годом ранее.

Источник: CertiK, Blocksec Phalcon, Polkadot (X), CoinGecko, Pashov (X).