Эксплойт WAX Bridge с отрицательной комиссией украл около $90 тыс.

22 октября 2026 года атакующий через пять запросов на вывод опустошил WAX Multi-Chain Bridge примерно на $90 тыс.: 52 986 USDC, 21 558 USDT, 840 DAI, 2,55 WETH и 0,11 WBTC. Причина — отсутствие проверки max_fee >= 0 в eth.token::withdraw: при max_fee = -quantity списание было нулевым, а запись на вывод сохраняла полную сумму. WAX приостановила обработку мостов, заявив, что сеть WAX и WAXP не затронуты.

• Украдено около $90 тыс., из них стейблкоинов примерно $75,4 тыс.
• max_fee = -quantity обнулял списание, но запись на вывод шла на полную сумму
• Атака шла с аккаунта fasdfas.al пятью транзакциями 22 октября 2026 года
• WAX приостановила обработку моста; сеть WAX и WAXP не пострадали