Thirdweb Bridge Hack

thirdweb — это платформа, которая предлагает инструменты для разработчиков блокчейн-приложений. Один из ее продуктов — Bridge, который помогает переводить и обменивать токены между сетями. Разработчики могли встраивать его в свои приложения, а пользователи выдавали ему доступ к своим токенам. 10 апреля 2025 года thirdweb обнаружила уязвимость, позволявшую посторонним злоупотреблять доступами к токенам, выданными ее контрактам Bridge. В тот же день компания приостановила затронутый контракт и выпустила исправление, но более старый экземпляр того же кода так и не был отключен и оставался уязвимым.

С помощью этого старого контракта злоумышленники забрали около 34 тыс. долларов в USDC в сети Ethereum тремя транзакциями в период с апреля по декабрь 2025 года. После того как 10 декабря 2025 года поступили сообщения о подозрительной активности, thirdweb подтвердила эксплойт и на следующий день отключила старый контракт во всех поддерживаемых сетях. В ее отчете об инциденте ничего не говорится о каком-либо возмещении ущерба. По словам thirdweb, ее инструменты по умолчанию запрашивают доступ только на необходимую сумму, поэтому под угрозой в основном оказались пользователи, выдавшие более крупные или неограниченные доступы.

Более новый контракт Bridge исправили в апреле 2025 года, а старый с тех пор отключен, но доступы, которые пользователи выдали обоим контрактам, по-прежнему действуют. Если вы когда-либо выдавали доступ любому из контрактов Bridge в любой сети, безопаснее всего отозвать эти доступы. Отзыв защищает то, что еще остается в вашем кошельке, но не возвращает уже украденные токены.

Затронутые пользователи остаются под угрозой до тех пор, пока не отзовут свои доступы, поэтому рекомендуется воспользоваться приведенной ниже проверкой эксплойтов Revoke.cash, чтобы убедиться, что вы в безопасности.