Мошенники запустили поддельную версию сети второго уровня GIWA и мост в Ethereum, через который вывели 766,25 ETH. Независимый ончейн-разбор Bitquery насчитал 1 333 адреса и 2 226 депозитов; в 07:29 UTC 27 сентября весь накопленный к тому моменту баланс ушёл одной транзакцией — около $2,08 млн по цене ETH в тот час.

Подделка выглядела как работающая инфраструктура OP Stack. Её создатели развернули мост и вспомогательные контракты 26 сентября, а отдельный адрес публиковал в Ethereum пакеты данных примерно раз в четыре минуты — всего 203 раза. Совпадающий идентификатор сети 9134 заставлял кошельки показывать ожидаемое число, но chain ID может назначить любой оператор и сам по себе ничего не подтверждает.

Настоящая GIWA предупредила в 06:09 UTC 27 сентября, что её mainnet ещё не запущен и утечки RPC быть не могло. Это соответствует официальной документации, где доступна только тестовая GIWA Sepolia. Однако до вывода средств после предупреждения пришёл ещё 211 депозитов на 59,5 ETH. Взлома GIWA, Ethereum или контрактов DYORSWAP не было: пользователи добровольно подключили чужой RPC и отправили ETH в мост, которым с начала управляли мошенники.

К 10:00 UTC 28 сентября Bitquery проследила 584,9 ETH до Tornado Cash. Из собственных средств DYORSWAP выплатила 199,3 ETH 1 018 адресам — 26% выведенной суммы; для депозитов меньше 5 ETH заявлен возврат 40%, крупные случаи рассматриваются отдельно. Эти деньги пришли от биржи, а не от операторов поддельной сети; личности последних не установлены, движение части средств продолжается.

История показала предел привычных проверок EVM-кошелька: работающий RPC, правильный chain ID, привычный мост и публикация данных в Ethereum могут быть декорацией. Подлинность новой сети приходится подтверждать по официальным адресам и доменам до перевода, а не по тому, что транзакция технически исполняется.