Mezo раскрыл детали взлома veBTC, компенсации и предложения хакеру

Mezo опубликовал технический отчет об атаке 5 октября 2026 года, в ходе которой из 36 кошельков были выведены 37 позиций veBTC, а около 5,52 BTC перемещены за пределы сети. Проект заявил, что уязвимость устранена, сеть и мост снова работают, а пострадавшие получат потерянные BTC из средств протокола.

Инцидент важен не только размером ущерба. Он показывает, как два распространенных решения могут стать опасными в сочетании. Система veBTC позволяет заблокировать BTC и получить NFT, представляющий позицию и право голоса. Контракт распределял логику по внешним библиотекам и поддерживал метатранзакции через доверенный форвардер.

Как сломалась проверка отправителя

Форвардер проверял подпись вне сети и добавлял адрес подтвержденного отправителя в конец calldata. Контракт считывал последние 20 байт. Но при вызове внешней библиотеки компилятор создавал новый буфер только из объявленных параметров, поэтому добавленный адрес не переходил в новый контекст.

Злоумышленник подготовил поле данных так, чтобы библиотека приняла контролируемые им байты за адрес пользователя. Он выбрал разблокированные, но еще не погашенные позиции, вывел BTC через мост в Ethereum и обменял их на 174,61 ETH. Наблюдать рынок биткоина можно через спотовую пару BTC на OrangeX.com, однако торговый доступ не является подтверждением безопасности смарт-контракта.

Реакция, компенсация и возврат средств

Атака проходила 5 октября с 18:54 до 19:06 UTC. Утром 6 октября команда заметила аномалию, в 09:04 объявила инцидент, через 13 минут остановила выводы через мост, а в 09:27 приостановила сеть. Уязвимость нашли быстро, и после исправления сеть и мост возобновили работу в 15:00.

Mezo отключил неиспользуемые в производстве метатранзакции и проверил все функции библиотек с тем же способом определения отправителя. Еще три ограниченные проблемы контроля доступа закрыты тем же исправлением. BTC должны поступить напрямую в существующие кошельки пострадавших без посещения сайта восстановления.

Хакеру предложено до 23:59 UTC 14 октября вернуть 4,415417121 BTC и оставить 1,103854280 BTC как 20-процентную награду. Итог возврата пока неизвестен. Новости безопасности доступны в разделе OrangeX.com Crypto News, а OrangeX.com Academy объясняет основные понятия. Доказательство резервов OrangeX.com относится к прозрачности биржи и не проверяет код стороннего протокола.

OrangeX.com Analysis

Главный вывод: знакомые компоненты не гарантируют безопасную композицию. Пересылка подписей, разбор calldata и вызовы библиотек применяются давно, но их граница создала ошибку авторизации, которую не обнаружили два аудита и программа вознаграждений.

Быстрая реакция ограничила дальнейший ущерб, а проект обещает полную компенсацию. Тем не менее подтвержденные факты следует отделять от будущих обязательств: объем, позиции, временная шкала и исправление известны, а завершение выплат, возврат похищенного и новые системы мониторинга еще требуют проверки.