«Золотой ключик» на $3,9 млн: как хакер обчистил B² Network

23 июля 2026 года из стейкинг-контракта B² Network вывели токены B2 примерно на $3,9 млн. Случай примечателен тем, что хакер не ломал код в привычном смысле. Злоумышленник завладел служебным ключом, которым проект обновляет свои контракты, тихо подменил их «начинку» и заставил контракт сам отдать средства. А дальше похищенное растворилось в четырех сетях.

Аналитики BitOK выяснили, как именно мошенник использовал «золотой ключик» и где осели украденные деньги.

Первое, что важно понять: слабым местом был не код контракта, а условия права доступа, которые позволяют его менять. Перед тем как продолжить, коротко напомним значение трех терминов, которые нам понадобятся:

Простая аналогия, которая поможет понять суть эксплойта. Представьте офис, где все платежи проводит робот-кассир — строго по инструкции, которая лежит в сейфе. Сам кассир неподкупен и не ошибается: он лишь исполняет написанное. Но у технического администратора есть право переписывать эту инструкцию. Злоумышленник получил доступ администратора и дописал в регламент строчку: «по такому-то сигналу перевести все средства на этот счет». Кассир, ничего не нарушая, выполнил новую инструкцию. Ломать его не пришлось — подменили не исполнителя, а правила, которым он подчиняется.

Вот главное об инциденте:

Важно! Не было ни повторного вывода средств из-за ошибки в коде, ни манипуляции ценовым оракулом, ни сбоя в начислении наград. Определяющим событием стала именно несанкционированная подмена логики контракта.

Получив B2, злоумышленник не стал держать активы в исходном токене. Их продали через торговую инфраструктуру LiquidMesh. Полученные BNB/WBNB собрали на втором кошельке, WBNB конвертировали обратно в обычный BNB. Так поток разделился на несколько ветвей.

Заметка инвестигейтора. WBNB — это «обернутая» версия BNB, технический формат монеты для торговли. Перевод обратно в BNB упростил хакеру дальнейшие переводы.

Возвращаемся к маршруту переводов:

Две внешне разные ветки — прямая с BNB Chain и обходная через Ethereum — в итоге сходятся в одном месте: сервисном слое NEAR Intents. А это важно для понимания, почему след теряется.

Отдельно стоит упомянуть предполагаемый, но не доказанный выход в Zcash. Внутри инфраструктуры NEAR/HOT замечены операции с ZEC. Это может указывать на конвертацию части средств в Zcash, но публичный адрес вывода, который удалось бы доказательно связать с похищенным, не установлен. Поэтому Zcash — гипотеза направления, а не подтвержденная конечная точка.

Публично средства удается проследить до нескольких границ. Важно различать последний видимый узел и фактического конечного владельца: сервисный депозит или мост могут быть лишь промежуточной точкой, а не карманом злоумышленника.

Итог: основная часть отслеживаемого потока ушла в NEAR Confidential Intents — частично напрямую, частично через Ethereum. Еще одна подтвержденная ветка завершилась на Solana-коллекторе. После входа в NEAR однозначная публичная связь с конечными кошельками теряется, а доказательств полного вывода в Zcash нет.

Важно! NEAR Intents смешивает депозиты множества пользователей и работает с ними через внутренние служебные кошельки. Один вход не обязательно соответствует одному выходу, а совпадение сумм или близость операций по времени сами по себе ничего не доказывают. Для окончательной деанонимизации нужны внутренние данные сервиса — записи о заявках, депозитах и выводах.

Ключевым активом злоумышленника был не капитал и не хитрая рыночная схема, а доступ к доверенному ключу обновления. Завладев им, он подменил логику стейкинг-контракта, заставил его отдать B2, продал их за BNB и увел выручку сразу по нескольким сетям, сведя большую часть в приватный сервисный слой NEAR.

Разнесение по маршрутам и уход в конфиденциальные депозиты говорят о том, что запутывание следов планировалось заранее.

Главный вывод этой истории в том, что смарт-контракт безопасен ровно настолько, насколько защищено право менять его логику.

В нашем случае деньги ушли не в один миксер, а в конфиденциальный сервисный слой через четыре сети. Отследить вход удалось, а вот конечного получателя — уже нет. Это лишний раз доказывает, что вернуть средства после такого вывода крайне сложно. Стоимость защиты ключей несопоставимо ниже цены, которую придется заплатить за эксплойт.