Сам себе враг: хакер UXLINK стал жертвой фишинга и лишился $48 млн

22 сентября проект UXLINK столкнулся с серьезной атакой: его мультиподписной кошелек оказался под контролем злоумышленника. По данным Cyvers, первоначальный ущерб составил $11,3 млн. Хакер изменил права доступа, а затем вывел активы в разных сетях.

Хронология атаки

В Ethereum он украл $4 млн USDT, $500 000 USDC, 3,7 WBTC и 25 ETH.

Часть стейблкоинов конвертировал в DAI.

В Arbitrum перевел USDT в ETH и вывел их в основной блокчейн.

На другой адрес отправил 10 млн UXLINK (около $3 млн).

Для продажи активов на DEX было использовано шесть кошельков. В результате хакер обменял токены на 6732 ETH. Крупные объемы UXLINK также были проданы на централизованных биржах.

Однако вскоре ситуация приняла неожиданный оборот: сам взломщик стал жертвой фишинговой атаки и лишился 542 млн UXLINK на сумму $48 млн.

Реакция команды UXLINK

Представители проекта подтвердили инцидент и сообщили, что работают с экспертами по безопасности для анализа уязвимости. Команда обратилась к централизованным и децентрализованным биржам с просьбой заморозить подозрительные депозиты. Также о случившемся уведомили полицию.

UXLINK заявила, что продолжает отслеживать передвижение активов и предпринимает меры для блокировки оставшихся средств.

Сравнение: инциденты сентября

Советы шаг за шагом для защиты активов

1. Использовать аппаратные кошельки для хранения крупных сумм.
2. Подключать мультиподпись только через проверенные сервисы.
3. Ограничивать права доступа и проводить регулярный аудит смарт-контрактов.
4. Проверять адреса получателей перед каждой транзакцией.
5. Не использовать подозрительные приложения и следить за официальными источниками.

Ошибка → Последствие → Альтернатива

Слабая защита мультисиг-кошелька → компрометация ключей → регулярные обновления и аудит кода.

Игнорирование мер по KYC на биржах → свободная продажа украденных активов → сотрудничество с площадками для блокировки средств.

Использование непроверенных интерфейсов → фишинговые атаки → доступ только через официальные клиенты.

А что если…

Если бы хакер не попал в фишинг? В этом случае он смог бы вывести все украденные активы и зафиксировать прибыль. Потери UXLINK оказались бы выше $60 млн. Однако цепочка событий показала, что злоумышленники тоже уязвимы и могут терять похищенные средства.

Плюсы и минусы ситуации

FAQ

Пострадали ли кошельки пользователей?
Прямых подтверждений нет, атака коснулась инфраструктуры проекта.

Можно ли вернуть украденные средства?
Часть уже заморожена, остальное зависит от расследования.

Как хакер потерял $48 млн?
Он стал жертвой фишинговой атаки и потерял токены UXLINK.

Мифы и правда

Миф: мультисиг гарантирует абсолютную безопасность.
Правда: без грамотных настроек и аудита он уязвим.

Миф: украденные средства всегда остаются у хакера.
Правда: их могут заморозить биржи или украсть другие злоумышленники.

Миф: такие атаки редкость.
Правда: только в сентябре зафиксировано несколько крупных взломов.

Интересные факты

1. Хакер потерял больше, чем похитил — редкий случай в индустрии.
2. На момент инцидента UXLINK входил в топ трендовых токенов на DEX.
3. За сентябрь совокупные потери криптоплатформ от атак превысили $60 млн.
4. В атаках участвовали разные векторы — от смарт-контрактов до мостов.
5. UXLINK впервые столкнулся с таким масштабным инцидентом.

Исторический контекст

Взломы мультисиг-кошельков и мостов остаются самой болезненной проблемой крипторынка. В 2021 году Poly Network лишился $611 млн, в 2022 году сеть Ronin потеряла $620 млн, в 2023-м пострадал Euler Finance. Каждый такой инцидент приводит к усилению мер безопасности, но хакеры продолжают находить новые уязвимости. Случай с UXLINK стал примером того, как хакерская атака обернулась неожиданной потерей уже для самого злоумышленника.