Неудачный перевод: хакер украл токены Optimism на $15 млн из-за ошибки в адресе

Разработчик L2-решения Optimism, который занимается масштабированием Ethereum, попал в крайне неприятную ситуацию. Из-за ошибки в адресе их партнер Wintermute «подарил» хакерам 20 миллионов токенов управления OP.

Что случилось

Делали инцидента команда Optimism описала в своем блоге.

Итак, 2 недели назад они отправили 20 млн токенов OP маркетмейкеру Wintermute. Это нужно было для подготовки к дропу токенов OP. Средства направлял фонд Optimism Foundation.

Этот перевод стал кредитом для обеспечения ликвидности OP после его листинга на биржах. Но все пошло не по плану, потому что Wintermute дал Optimism неверный адрес кошелька. По договоренности деньги должны были храниться на кошельке с мультиподписью, который принадлежит компании Wintermute. 

Были успешно отправлены две тестовые транзакции, а после — вся сумма. Однако в Wintermute не смогли получить доступ к токенам, потому что предоставленный мультисиг-адрес был на первом уровне Ethereum, а не L2. 

В попытке развернуть L2-адрес их опередил злоумышленник, а доступ к токенам был утерян.

Где сейчас токены

Вору уже удалось перевести 1 млн токенов OP в эфир, а затем перекинуть на неизвестный адрес через микшер Tornado Cash. Оставшиеся 19 млн монет все еще на кошельке хакера. И все это время у него будут права голоса в сообществе Optimism.

Кто виноват и что делать

Команда Wintermute признала свою ошибку на 100%. Они пообещали покупать токены ОР у хакера каждый раз, когда он будет продавать их, чтобы восстановить целостность системы. Провайдер уже приобрел первый миллион токенов.

Optimism Foundation будет помогать Wintermute. Они предоставили им второй грант на 20 млн OP, чтобы команда могла продолжить работу.