Мошенники создали поддельный Upbit L2 и украли 2 миллиона долларов в ETH.

Раньше криптомошенники довольствовались клонированными веб-сайтами или поддельными токенами. На этот раз кто-то создал целый блокчейн.

В минувшие выходные поддельная версия GIWA, платформы Ethereum Layer 2, разрабатываемой оператором Upbit, компанией Dunamu, привлекла около 767 ETH с 1335 адресов. Затем мост был опустошен. Примерно 766 ETH, что составляет около 2 миллионов долларов по текущим ценам, исчезли в результате одной транзакции.

__КОРОТКИЙ_ТОКЕН_0__

Настоящей основной сети GIWA не существует. В документации Dunamu указана только тестовая сеть Sepolia, а GIWA заявила на X, что ни один RPC-выпуск для продакшена еще не был выпущен. Все, кто использовал реальные ETH, отправляли их в сеть, которая не принадлежит Upbit, не использует код Upbit и никогда не будет использовать.

__КОРОТКИЙ_ТОКЕН_1__

Как поддельная сеть получила реальные депозиты

Поддельная сеть представляла собой не целевую страницу с кнопкой «подключить кошелек». Она имела RPC-интерфейс, работающий мост, пакетный обработчик и инфраструктуру в стиле OP Stack. Пользователи могли подключаться через мост, и, как сообщает Gokhshtein Media, цепочка даже отображала покупки, продажи и запуск токенов, так что создавалось впечатление активности.

Также использовался идентификатор цепочки 9134, связанный с запланированным запуском GIWA. Эта деталь выполнила большую часть работы. Идентификатор цепочки сообщает кошельку, с какой сетью он взаимодействует, но ничего не говорит о том, кто контролирует RPC или мост за ним, как отметило издание CryptoSlate в своей статье.

Аналитик блокчейна Stablemark отследил схему. Кошельки, связанные с операцией, были пополнены через ChangeHero 26 сентября. Примерно через 11 часов кошелек Safe, контролирующий схему и поддельный мост, был запущен. В течение следующих 13 часов депозиты продолжали поступать: по подсчетам Stablemark, на 1333 кошелька поступило 767 ETH.

__КОРОТКИЙ_ТОКЕН_2__

Затем операторы подменили код портала моста и вывели 766 ETH за один раз. Никто не воспользовался ошибкой. Контракт принадлежал мошенникам, поэтому они его изменили.

Украденные средства уже перемещаются. Stablemark сообщил, что 177 ETH прошли через Tornado Cash, а остальные 589 ETH находились на четырех кошельках на момент обновления. В сумме это составляет 766 ETH, и большая часть из них пока по-прежнему видна в блокчейне.

DEX, который это подтвердил

Вот что особенно неприятно. Поддельная цепочка не распространилась сама по себе. DYORSWAP, мультисетевая децентрализованная биржа, изначально рассматривала её как настоящую основную сеть GIWA и добавила поддержку, благодаря чему многие пользователи в итоге подключились к ней через мост.

Позже DYORSWAP заявила, что блокчейн был мошенническим и что правильный идентификатор блокчейна создавал видимость легитимности во время первой проверки. Компания также заявила, что ее собственные смарт-контракты не были скомпрометированы, и что она отметила подозрительные сообщения и лиц в соответствующем сообществе. Предупреждение пользователям было прямолинейным: не трогайте никакие неофициальные GIWA RPC, мосты или контракты.

Пользователи крайне негативно отреагировали на первоначальное объявление. Многие утверждали, что именно одобрение DEX создавало впечатление безопасности моста.

Система отчетности по возмещению пока не полностью синхронизирована. CryptoSlate сообщает, что DYORSWAP выплатит 40% от переведенной суммы кошелькам, которые отправили менее 5 ETH, а более крупные заявки будут рассматриваться отдельно и потребуют проверки личности и адреса, поскольку некоторые крупные кошельки могут быть связаны с фишингом или другими видами мошенничества. Gokhshtein Media сообщает, что DYORSWAP уже распределила более 200 ETH из собственного казначейства. В любом случае, выплата составляет лишь небольшую часть от 766 ETH, которые исчезли.

__КОРОТКИЙ_ТОКЕН_3__

Почему GIWA была идеальной приманкой

Выбор времени был неслучайным. В мае Dunamu и Optimism Foundation объявили, что GIWA станет первой корпоративной сетью с самостоятельным управлением операциями, при этом Upbit сохранит оперативный контроль, а Optimism обеспечит резервную инфраструктуру. Dunamu управляет тестовой сетью Sepolia с сентября 2025 года, а в апреле заключила партнерское соглашение с Hana Financial и POSCO International для тестирования системы трансграничных денежных переводов на сети GIWA.

У GIWA также нет отдельного собственного токена. Базовым активом является ETH. Поэтому "перевести некоторое количество ETH в новую цепочку Upbit" звучит как совершенно нормальная идея, и в запросе нет ничего подозрительного. Нет токена, который нужно проверять, нет аирдропа, который нужно подвергать сомнению.

Корейское издание Seoul Economic Daily подчеркнуло, что это не взлом самой GIWA. Это правда, но для тех, кто потерял деньги, это несколько не имеет значения.

Что еще открыто

DYORSWAP заявляет, что отслеживает развертывание моста, первоначальное финансирование, тестовые кошельки и конечных получателей. Также сохраняются записи RPC и сообщения сообщества. 589 ETH, размещенные в четырех кошельках, — это число, за которым следует следить. Если они отправятся на миксер или биржу, окно для заморозки значительно сузится.

Урок для пользователей скучный и неприятный: идентификатор цепочки — это всего лишь метка. Если сеть не указана в официальной документации проекта, значит, её ещё не существует, независимо от того, сколько людей торгуют на ней.