Firma Taiko padła ofiarą ataku hakerskiego, w wyniku którego straciła 1,7 mln dolarów. Następnie wartość tokenu wzrosła dziewięciokrotnie.

22 czerwca ktoś wypłacił 1,7 miliona dolarów z mostu Ethereum L2 firmy Taiko. Nie dzięki wykryciu jakiejś sprytnej luki w kontrakcie inteligentnym, lecz dzięki zdobyciu klucza prywatnego. Był to klucz RSA-3072 o nazwie enclave-key.pem, znajdujący się w publicznym repozytorium Taiko na GitHubie (taikoxyz/raiko), z którego każdy posiadacz konta mógł go swobodnie pobrać. Klucz ten miał pozostać zablokowany w enklawie Intel SGX, gdzie służy do podpisywania dowodów potwierdzających mostowi , że „tak, ta wypłata jest prawdziwa”. Zamiast tego atakujący przejął go, zarejestrował własny fałszywy sprzęt jako zaufanego weryfikatora i sfałszował dowody wypłat, co do których most nie miał powodu, by wątpić. Wstrzymano tworzenie bloków. Zespół poinformował wszystkich, aby natychmiast wycofali swoje środki ze wszystkich mostów w sieci.

Dziesięć dni później, 2 lipca, most został ponownie uruchomiony. Zgodnie z oświadczeniem samego Taiko, wszyscy poszkodowani użytkownicy otrzymali pełne odszkodowanie z funduszu rezerwowego. I wtedy sprawy przybrały dziwny obrót.

TAIKO nie tylko odzyskało równowagę — jego cena poszybowała w górę. Z historycznego minimum wynoszącego około 0,058 USD, osiągniętego 29 czerwca, cena tokenu wzrosła w ciągu 24 godzin aż do 0,52 USD – co stanowiło około dziewięciokrotny wzrost – po czym ustabilizowała się na poziomie około 0,13–0,14 USD. To wciąż około dwukrotność ceny, po jakiej token był notowany tuż po ataku hakerskim. CoinDesk odnotował wzrost nawet o 136% w ciągu jednej sesji; według CoinGecko wzrost w ciągu tygodnia wyniósł 114%. Wolumen obrotu przekroczył 100 milionów dolarów w ciągu jednego dnia dla tokenu o kapitalizacji rynkowej wynoszącej 27 milionów dolarów.

Rok temu schemat wyglądał tak: shitcoin zostaje wycofany z giełdy, jego cena gwałtownie rośnie, a nikt nie potrafi tego wyjaśnić inaczej niż „mniejsza presja sprzedaży, mniej rozsądnych obserwatorów”. Teraz najwyraźniej wyciek klucza podpisu na GitHubie i utrata kwoty siedmiocyfrowej daje ten sam efekt. Może to zakupy z ulgi – naprawa zadziałała, wszyscy odzyskali pieniądze, więc czemu by się nie wkręcić. A może to po prostu token o małej płynności, gdzie każdy nagłówek, dobry czy zły, wystarczy, by jego cena poszybowała w górę. Prawdopodobnie jedno i drugie.

Warto jednak zapamiętać, co tak naprawdę się tutaj wydarzyło. Nie była to wada smart kontraktu. Cała konfiguracja Taiko oparta na wielu weryfikatorach – SGX wraz z backendami ZK – została zaprojektowana tak, aby atakujący musiał złamać dwa niezależne systemy jednocześnie. Nie miało to jednak żadnego znaczenia, ponieważ klucz od początku nie miał opuszczać enklawy, a znalazł się w miejscu, gdzie każdy skrypt mógł go znaleźć. To nie jest porażka kryptografii. To porażka pliku.gitignore. Firma PeckShield szacuje, że łączna wartość ataków na mosty w 2026 r. wyniosła ponad340 milionów dolarów w co najmniej 14 incydentach, a wspólnym mianownikiem większości z nich nie są błędy matematyczne, lecz to, że ktoś zapomniał zamknąć drzwi.

Taiko zapowiada, że wkrótce pojawi się pełna analiza po incydencie. Do tego czasu: most działa, użytkownicy odzyskali swoje pieniądze, a wykres wygląda tak, jakby nic złego się w ogóle nie wydarzyło.