Компанію Taiko зламали, викравши 1,7 млн доларів. Після цього вартість токена зросла в 9 разів.

22 червня хтось вивів 1,7 мільйона доларів з мосту Ethereum L2 компанії Taiko. І це сталося не завдяки виявленню якоїсь хитрої помилки в смарт-контракті, а завдяки отриманню приватного ключа. Ключ RSA-3072 під назвою enclave-key.pem, що знаходився у публічному репозиторії Taiko на GitHub (taikoxyz/raiko), був доступний для завантаження будь-кому, хто мав обліковий запис. Цей ключ мав залишатися заблокованим усередині анклаву Intel SGX, де він підписує докази, що підтверджують мосту : «так, цей вивід коштів є справжнім». Натомість зловмисник заволодів ним, зареєстрував власне підроблене обладнання як надійний доказник та підробив докази виведення коштів, у справжності яких міст не мав підстав сумніватися. Виробництво блоків зупинилося. Команда порадила всім негайно вивести свої кошти з усіх мостів у мережі.

Через десять днів, 2 липня, міст знову запрацював. Згідно з офіційним повідомленням Taiko, всі постраждалі користувачі отримали повне відшкодування з казни. І саме тоді ситуація набула дивного повороту.

TAIKO не просто відновився — його ціна злетіла вертикально вгору. З історичного мінімуму близько 0,058 долара, досягнутого 29 червня, токен злетів до 0,52 долара протягом 24 годин — це приблизно 9-кратне зростання — після чого стабілізувався на рівні приблизно 0,13–0,14 долара. Це все одно приблизно вдвічі більше, ніж ціна, за якою він торгувався одразу після хакерської атаки. CoinDesk зафіксував зростання на 136% за одну сесію; за даними CoinGecko, за тиждень зростання склало 114%. Обсяг торгів перевищив 100 мільйонів доларів за день для токена з ринковою капіталізацією 27 мільйонів доларів.

Рік тому схема була такою: «шиткойн» виключають з біржі, ціна «шиткойна» злітає, і ніхто не може пояснити чому, крім як «менший тиск з боку продавців, менше розсудливих спостерігачів». Тепер, судячи з усього, витік вашого ключа підпису на GitHub і втрата семизначної суми дають той самий ефект. Можливо, це купівля на полегшенні: проблема вирішилася, всім повернули кошти, тож чому б не долучитися до ажіотажу. А може, це просто токен з невеликим обігом, для якого будь-яка новина — хороша чи погана — достатня, щоб ціна злетіла. Ймовірно, і те, і інше.

Проте варто пам’ятати, що насправді тут сталося. Це не була вразливість смарт-контракту. Уся система Taiko з кількома перевіряючими, що поєднує SGX та ZK-бекенди, була спроектована так, що зловмиснику довелося б зламати дві незалежні системи одночасно. Але це не мало значення, оскільки ключ взагалі не мав покидати анклаву, а опинився в місці, де його міг знайти будь-який скрипт. Це не провал криптографії. Це провал.gitignore. За оцінками PeckShield, загальний збиток від хакерських атак на мости у 2026 році перевищує340 мільйонів доларів у щонайменше 14 інцидентах, і спільним для більшості з них є не помилки в математиці, а те, що хтось забув зачинити двері.

Taiko повідомляє, що незабаром буде опубліковано повний аналіз інциденту. А до того часу: міст працює, користувачі отримали свої гроші назад, а на графіку виглядає так, ніби нічого поганого й не сталося.