Шахраї створили підроблений Upbit L2 та вкрали 2 мільйони доларів у ETH

Раніше криптовалютні шахраї задовольнялися клонованим веб-сайтом або підробленим токеном. Цього разу хтось створив цілий блокчейн.

Протягом вихідних підроблена версія GIWA, Ethereum Layer 2, яку створює оператор Upbit, Dunamu, вивела близько 767 ETH з 1335 адрес. Потім міст був спустошений. Приблизно 766 ETH, що становить близько 2 мільйонів доларів за поточними цінами, було виведено в одній транзакції.

__КОРОТКИЙ_ТОКЕН_0__

Справжньої основної мережі GIWA не існує. У власній документації Dunamu вказана лише тестова мережа Sepolia, а GIWA на X заявила, що жодного RPC для виробничого процесу не було випущено. Усі, хто встановлював мости для справжнього ETH, надсилали його до мережі, яка не належить Upbit, не запускає код Upbit і ніколи не запускатиме.

__КОРОТКИЙ_ТОКЕН_1__

Як фальшива мережа отримала справжні депозити

Підроблена мережа не була цільовою сторінкою з кнопкою «підключити гаманець». Вона мала кінцеву точку RPC, робочий міст, дозатор та інфраструктуру в стилі OP Stack. Користувачі могли підключатися через міст, і Gokhshtein Media повідомляє, що мережа навіть показувала купівлі, продажі та запуски токенів, тому вона виглядала завантаженою.

Він також використовував ідентифікатор ланцюга 9134, ідентифікатор, пов'язаний із запланованим запуском GIWA. Ця деталь виконала більшу частину роботи. Ідентифікатор ланцюга повідомляє гаманцю, з якою мережею він спілкується, але нічого не говорить про те, хто контролює RPC або міст за ним, як зазначав CryptoSlate у своєму висвітленні.

Он-чейн-аналітик Stablemark відстежив схему. Гаманці, пов'язані з операцією, були профінансовані через ChangeHero 26 вересня. Приблизно через 11 годин гаманець Safe, який контролював схему та фальшивий міст, запрацював. Протягом наступних 13 годин депозити продовжували надходити: 1333 гаманці та 767 ETH, за підрахунками Stablemark.

__КОРОТКИЙ_ТОКЕН_2__

Потім оператори підмінили код порталу мосту та вивели 766 ETH одним махом. Ніхто не скористався помилкою. Шахраї володіли контрактом, тому вони його змінили.

Викрадені кошти вже переміщуються. Stablemark сказав, що 177 ETH пройшло через Tornado Cash, тоді як інші 589 ETH знаходилися на чотирьох гаманцях на момент його оновлення. Це дорівнює повним 766, і більша частина поки що все ще видима в блокчейні.

DEX, яка за це поручилася

Ось що вражає. Фальшивий блокчейн не поширювався сам по собі. DYORSWAP, багатоблокчейновий DEX, спочатку сприймав його як справжню основну мережу GIWA та додав підтримку, саме так так багато користувачів зрештою з'єдналися між собою.

Пізніше DYORSWAP заявив, що ланцюг був шахрайським, і що правильний ідентифікатор ланцюга зробив його легітимним під час першої перевірки. Він також заявив, що його власні смарт-контракти не були скомпрометовані, і що він позначав підозрілі повідомлення та осіб у відповідній спільноті. Його попередження для користувачів було чітким: не торкайтеся жодних неофіційних RPC, мостів чи контрактів GIWA.

Користувачі не дуже охоче поставилися до початкового списку. Багато хто стверджував, що саме схвалення DEX зробило міст безпечним.

Звітність про відшкодування ще не повністю узгоджена. CryptoSlate повідомляє, що DYORSWAP виплатить 40% від суми, що була стягнута, гаманцям, які надіслали менше 5 ETH, а більші претензії оброблятимуться окремо та вимагатимуть перевірки особи та адреси, оскільки деякі великі гаманці можуть бути пов'язані з фішингом або іншим шахрайством. Gokhshtein Media повідомляє, що DYORSWAP вже розподілив понад 200 ETH зі своєї власної скарбниці. У будь-якому разі, виплата становить лише частину від 766 ETH, які зникли.

__КОРОТКИЙ_ТОКЕН_3__

Чому GIWA була ідеальною наживкою

Час був обраний не випадково. Dunamu та Optimism Foundation оголосили у травні, що GIWA стане першою самостійно керованою мережею OP Enterprise, де Upbit збереже операційний контроль, а Optimism забезпечить резервну інфраструктуру. Dunamu керує тестовою мережею Sepolia з вересня 2025 року, а у квітні вона у партнерстві з Hana Financial та POSCO International протестувала систему транскордонних грошових переказів на GIWA Chain.

GIWA також не має окремого власного токена. Базовим активом є ETH. Тож «підключити частину ETH до нового блокчейна Upbit» звучить як цілком нормальна річ, і в запиті немає нічого дивного. Немає токена для перевірки, немає аїрдропу для розгляду.

Корейське видання Seoul Economic Daily наголосило, що це не був злом самої GIWA. Це правда, і це також дещо недоречно для людей, які втратили гроші.

Що ще відкрито

DYORSWAP стверджує, що відстежує розгортання мосту, початкове фінансування, тестові гаманці та кінцевих одержувачів. Він також зберігає записи RPC та повідомлення спільноти. 589 ETH, за якими варто стежити, зберігаються в чотирьох гаманцях. Якщо вони потрапляють до міксера або біржі, вікно для заморожування значно зменшується.

Урок для користувачів нудний і невдалий: ідентифікатор ланцюга – це мітка. Якщо мережі немає в офіційній документації проєкту, її ще не існує, незалежно від того, скільки людей на ній торгують.