Мост Wanchain между Cardano и BNB Chain опустошён — 515 млн NIGHT ушли через повтор подписи

21 июля 2026 раскрыты детали атаки на мост Wanchain между Cardano и BNB Chain: злоумышленник вывел около 515,2 млн NIGHT, оценки ущерба расходятся от $10 млн до $13 млн. Резерв моста упал примерно с 527 млн до 12 млн токенов — около 97% обеспечения. Цена NIGHT просела на 30–40% внутри дня и обновила исторический минимум в районе $0,016.

Причина — не украденный ключ и не логика бизнес-правил, а кодирование подписываемого сообщения в валидаторе TreasuryCheck. Мост склеивал 14 полей переменной длины без разделителей и меток длины, поэтому разные наборы значений давали одинаковую байтовую строку и, следовательно, один и тот же хеш. По разбору BlockSec, подпись, выданная примерно на 3 110 NIGHT в BNB Chain, была переиспользована для вывода 203 001 692 NIGHT в Cardano — превышение более чем в 65 000 раз.

Wanchain отключил мост и пообещал разбор инцидента; Midnight Foundation подчеркнула, что валидаторы, консенсус и сам блокчейн Midnight не затронуты — уязвимой была сторонняя мостовая инфраструктура. Отраслевой вывод простой: канонический формат подписываемых данных — часть модели безопасности, а не деталь сериализации. Пока мост закрыт, ликвидность NIGHT заперта между сетями.