Уязвимость обхода подписи в Kasplex KRC-20 привела к потере до 99,6% стоимости KAS в пулах ликвидности ZEAL и NACHO

Злоумышленники использовали уязвимость обхода проверки подписи в офчейн-индексаторе Kasplex KRC-20, чтобы перевести 186 млн ZEAL и 54,398 млрд NACHO, не имея приватных ключей от кастодиального кошелька моста. Они провели пять поддельных транзакций для выпуска токенов через EVM-слой Igra Labs и Kasplex L2, а затем продали их в пул ликвидности Zealous Swap. Сторона KAS затронутого пула ликвидности потеряла от 94% до 99,6% стоимости. Igra приостановила вывод iKAS в Kaspa L1 и переводы Hyperlane и предупредила пользователей о необходимости избегать мостовых операций с токенами KRC-20, покупки ZEAL или NACHO на DEX уровня L2 и добавления ликвидности в соответствующие пулы. Консенсус Kaspa L1 и не связанные с мостом активы Igra затронуты не были. Zealous Swap заявила, что операторам необходимо исправить индексатор и переиндексировать историю, отклоняя транзакции с пустыми подписями, аномальными тегами и транзакции, содержащие скрипты после OP_ENDIF.