Dwa mosty powiązane z Ethereum ucierpiały w odstępie zaledwie kilku godzin. Według doniesień Tokenpost powołujących się na CryptoSlate, firma bezpieczeństwa Blockaid wykryła około 22 lipca o 21:30 (UTC) wykorzystanie luki w AFX — zdecentralizowanym protokole handlowym działającym na Arbitrum, z którego mostu powierniczego USDC wytransferowano 24,15 mln USDC, a odpowiednie transakcje zapisano na łańcuchu Arbitrum. W tym samym czasie strat doznał także most Verus–Ethereum; oba incydenty razem dają około 31,69 mln USD. Z drugiej strony, B² Network ogłosił wstrzymanie stakingu tokenów po nieautoryzowanym dostępie do uprawnień aktualizacyjnych kontraktu stakingowego. Wspólnym mianownikiem tych trzech zdarzeń jest to, że problem nie leżał po stronie emitentów stablecoinów, lecz w infrastrukturze służącej do „przeprowadzania” aktywów między łańcuchami.
Interpretacja redakcji: ucierpiała nie karta, lecz odcinek trasy przed kartą
Zacznijmy od wniosku — dla zdecydowanej większości posiadaczy wirtualnych kart USDT bezpośredni wpływ tego typu zdarzeń wynosi zero. Saldo karty jest przechowywane w systemie kont wystawcy karty i nie przechodzi przez kontrakty AFX czy B². Rzeczywista ekspozycja na ryzyko pojawia się przed samym doładowaniem: gdy w celu oszczędności na opłatach przesyłasz USDT z giełdy na jakiś L2, następnie zamieniasz je za pomocą mostu zewnętrznego na inny łańcuch, a dopiero na końcu doładowujesz kartę. Każdy most na tej trasie to osobne ryzyko kontraktowe.
Rozpatrując to według nawyków użytkowania, można wyróżnić trzy grupy:
- Użytkownicy korzystający z wewnętrznych transferów giełdowych (typowy scenariusz kart giełdowych, jak Bybit Card): środki przechodzą bezpośrednio z konta spot na konto karty, bez wychodzenia na łańcuch — to zdarzenie nie generuje dla nich żadnego dodatkowego ryzyka.
- Użytkownicy doładowujący bezpośrednio przez TRC20 / główne blockchainy (wariant Asia Elite karty MPCard, większość zagregowanych kart U): przesyłają USDT z portfela bezpośrednio na adres wskazany przez wystawcę karty, bez pośrednictwa mostu zewnętrznego — ryzyko również ich nie dotyczy.
- Użytkownicy korzystający z L2 + mostów zewnętrznych w celu obniżenia opłat: to jedyna grupa, która powinna ponownie przeanalizować swoją trasę. Płynność USDC na Arbitrum znalazła się po incydencie pod krótkoterminową presją, co może zwiększyć poślizg cenowy przy wymianach cross-chain oraz czas oczekiwania na mostach.
Oczekiwane ramy czasowe: w ciągu 7 dni część zagregowanych portfeli i dostawców kart U może wprowadzić tymczasowe środki ograniczające ryzyko dla kanałów doładowania z Arbitrum i mniej popularnych mostów, co objawi się opóźnieniem księgowania lub komunikatem „ten łańcuch nie jest chwilowo obsługiwany”; w ciągu 30 dni to, czy AFX opublikuje analizę incydentu (post-mortem) wraz z planem rekompensat oraz czy B² przywróci staking, zdecyduje o tym, czy środki wrócą do powiązanych ekosystemów; w ciągu 90 dni główni wystawcy kart najprawdopodobniej dodatkowo zawężą listę „oficjalnie wspieranych łańcuchów” — to spójny kierunek widoczny po każdym incydencie mostowym w ostatnich dwóch latach. Czytelnicy, którzy nie znają dobrze struktury przepływu środków w kartach U, mogą najpierw zapoznać się z fragmentem Czym jest karta U dotyczącym trasy doładowania i granic powiernictwa.
Porównanie historyczne: bardziej jak Multichain z 2023, mniej jak odkotwiczenie USDC z 2023
Incydent Multichain z lipca 2023 roku jest najbliższym punktem odniesienia — również doszło wtedy do utraty kontroli nad kluczami/uprawnieniami po stronie mostu, co skutkowało nagłą utratą wsparcia dla rozliczenia aktywów mostowych na wielu łańcuchach, a bridged stablecoiny na łańcuchach takich jak Fantom notowały wyraźny dyskont. Tegoroczne 24,15 mln USDC z AFX to realne aktywa wytransferowane z mostu powierniczego — charakter zdarzenia jest bardzo zbliżony do Multichain: z samym emitentem nie ma problemu, problem leży w tym, „kto w Twoim imieniu przechowuje te środki”.
Z kolei odkotwiczenie USDC z marca 2023 roku (incydent Silicon Valley Bank, USDC spadło chwilowo do około 0,87 USD) to zupełnie inny rodzaj ryzyka — problem po stronie rezerw, dotykający wszystkich posiadaczy jednocześnie, niezależnie od tego, jakim łańcuchem się posługują. Wówczas prawie wszystkie salda kart denominowane w USDC odczuły skutki tego zdarzenia; tym razem tak nie będzie.
W porównaniu z Ronin z 2022 roku (625 mln USD) czy Wormhole (326 mln USD), skala obecnych 31,69 mln USD nie jest duża, ale fakt, że uprawnienia aktualizacyjne B² zostały uzyskane bez autoryzacji, to sygnał wymagający większej czujności: uprawnienia administracyjne w kontraktach z możliwością aktualizacji stają się częstszym wektorem ataku niż luki w kodzie. To przypomnienie dla każdego, kto trzyma środki na dłużej w protokołach on-chain generujących zysk, a następnie regularnie je wypłaca na wydatki kartowe.
Perspektywa regulacyjna: most nie jest elementem licencjonowanym, ścieżka dochodzenia roszczeń praktycznie nie istnieje
Warto jasno rozgraniczyć te kwestie. Emitenci stablecoinów (Tether, Circle) w większości jurysdykcji wchodzą już w ramy licencyjne lub rejestracyjne — system licencji emitentów w ramach hongkońskiej Ustawy o Stablecoinach oraz ramy regulacyjne MAS dla stablecoinów w Singapurze są w trakcie wdrażania; odpowiednie informacje można znaleźć w wytycznych zgodności dla Hongkongu oraz wytycznych zgodności dla Singapuru. Wystawcy wirtualnych kart oraz instytucje rozliczające również są zazwyczaj objęte wymogami licencji EMI/płatniczych.
Jednak mosty cross-chain znajdują się w regulacyjnej próżni: nie są ani emitentem, ani licencjonowaną instytucją płatniczą, w większości działają w czystej formie kodu, bez obowiązku separacji środków klientów, bez rezerw na wypłatę odszkodowań i bez organu regulacyjnego, do którego można się odwołać. Gdy środki raz wypłyną z kontraktu mostu, jedyne, na czym można polegać, to dwie rzeczy — zdolność emitenta do blacklistowania adresów (Circle dysponuje techniczną możliwością zamrożenia USDC na wskazanym adresie, ale to, czy z niej skorzysta, zależy od jego własnej oceny) oraz dobrowolny plan rekompensat ze strony projektu. To nie jest kwestia „naruszenia prawa” — to kwestia „braku obowiązującego prawa”. Utożsamianie tego z bezpieczeństwem środków u licencjonowanego wystawcy karty to najczęstszy błąd poznawczy.
Punkty, które warto obserwować dalej
- Czy Circle zamrozi środki na adresach powiązanych z atakiem — to zdecyduje, ile z 24,15 mln USDC może zostać odzyskane; zwykle rozstrzyga się to w ciągu kilku dni od incydentu.
- Ogłoszenie B² Network o przywróceniu stakingu — to, czy po nieautoryzowanym dostępie do uprawnień zmieniono multisig lub wprowadzono time-lock, jest kluczowe dla oceny jakości naprawy zabezpieczeń.
- Oficjalny post-mortem AFX — czy ujawni wektor ataku i czy ogłosi proporcję rekompensat dla użytkowników.
- Ogłoszenia głównych dostawców kart U dotyczące obsługiwanych łańcuchów — jeśli w ciągu najbliższych 30 dni któryś z wystawców po cichu wyłączy kanał doładowania dla danego łańcucha, zwykle nie będzie się to wiązało z głośnym ogłoszeniem — warto samodzielnie sprawdzić oficjalną stronę przed doładowaniem.
Rekomendacje redakcji
- Użytkownicy posiadający główne karty, jak MPCard czy Bybit Card, korzystający z transferów giełdowych lub bezpośredniego doładowania na głównych łańcuchach: nie musisz nic robić. Twoje środki nie przechodziły przez żaden z kontraktów objętych obecnym incydentem.
- Osoby przyzwyczajone do „obchodzenia” opłat gas za pomocą mostów zewnętrznych: w tym miesiącu warto wrócić do oficjalnego kanału. Kilka dolarów oszczędności na opłatach nie jest proporcjonalne do ryzyka związanego z kontraktem mostu. Szczególnie uwaga dotyczy użytkowników rozwiązań self-custody, takich jak OneKey Card — self-custody oznacza, że ryzyko ponosisz samodzielnie i nie masz do kogo się odwołać.
- Osoby trzymające środki przeznaczone na wydatki w protokołach on-chain: skróć czas przechowywania do minimum. To, co ujawnił incydent B², to ryzyko uprawnień administracyjnych, a nie błąd w kodzie — nie da się go wyłapać samą lekturą raportów audytowych.
- Osoby planujące odnowienie subskrypcji dolarowych, np. ChatGPT Plus: dokonaj doładowania z wyprzedzeniem 3–5 dni. Jeśli wystawca karty wprowadzi w najbliższym czasie tymczasowe ograniczenia dla niektórych łańcuchów, zostawiony bufor czasowy jest bezpieczniejszy niż doładowanie dokładnie w dniu pobrania opłaty.
Krótko mówiąc: to nie jest problem stablecoina ani karty — to problem tego, że „przed doładowaniem przeszedłeś dodatkowy odcinek trasy, za który nikt nie odpowiada”.