Эксперты из SlowMist оценили атаку на Typus Finance: уязвимость в Move стоила проекту $3,44 млн

223

2 мин

21.10.2025

Ethereum
безопасность
Активы
USDC
Circle
Slowmist
Turbo

DeFi-проект Typus Finance, работающий на блокчейне Sui, подвергся хакерской атаке несколько дней назад. Она привела к краже криптоактивов на сумму около $3,44 млн. Команда проекта выпустила официальный отчет, поблагодарив компанию SlowMist за помощь в расследовании и отслеживании движения похищенных средств. Согласно результатам анализа, причина проблемы заключалась в уязвимости системы проверки разрешений, позволившей злоумышленнику манипулировать ценами оракулов.

По данным аналитической платформы MistTrack, в результате атаки было украдено 588,35 тыс. SUI, 1,6 млн USDC, 0,6 xBTC и 32,22 тыс. suiETH. Хакер конвертировал большую часть токенов в USDC через протоколы Cetus, Haedal Protocol и Turbos, а затем перевел около $3,43 млн на Ethereum-адрес с помощью моста Circle CCTP. Затем цифровые средства были обменяны на 3,43 млн DAI и перемещены на новый адрес через Curve, где они остаются по сей день.

Дальнейшее отслеживание показало, что изначальные активы хакера поступили с адреса, ранее связанного с Tornado Cash в сети BSC. Часть средств была обменяна и перенаправлена в Ethereum, после чего участвовала в сложной цепочке переводов через Mayan Finance и другие мосты. Эксперты из SlowMist сумели проследить все транзакции и выявить взаимосвязанные кошельки, что помогло определить весь маршрут от взлома до конечных адресов.

Аналитики классифицировали инцидент как типичную атаку на оракулы цен, при которой злоумышленник воспользовался возможностью доступа к общему объекту и уязвимостью в механизме валидации белого списка. Это позволило произвольно изменять данные о ценах и получать прибыль за счет искусственно созданного арбитража. Разработчикам проекта предложено простое, но эффективное решение — добавить проверку assert! в критические функции контракта.

В своем отчете эксперты из SlowMist отметили, что язык Move предоставляет надежную базу для контроля разрешений через модель владения объектами и систему способностей, однако даже продвинутая архитектура не может компенсировать недостатки человеческого фактора. Ошибка проверки прав в Typus Finance стала примером того, как отсутствие строгих тестов и аудита может привести к дорогостоящим последствиям.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

BlackRock вложил $2,229 млрд в Ethereum ETF за две недели

За последние две недели BlackRock вложил $2,229 млрд в Ethereum spot ETF, тогда как из Bitcoin spot ETF компания вывела $2,756 млрд. При этом курс ETH к BTC вырос на 5,77%. Самый крупный однодневный приток средств составил $92,6 млн 24 ноября, а самый большой отток — $88,7 млн 2 декабря.

BlackRock IBIT за две недели потерял $2,756 млрд

За последние две недели из фонда BlackRock IBIT вышло $2,756 млрд, при этом 24 ноября зафиксирован крупнейший однодневный отток в $1,491 млрд. В то же время 2 декабря фонд получил самый крупный однодневный приток — $1,201 млрд.

Токен PIGGY обвалился на 90% из-за массовой добычи и продажи на $4 млн

За последние 15 минут на рынке резко добыли и сразу продали токены PIGGY на сумму около $4 млн, что привело к падению цены на 90%. В результате рыночная стоимость токена снизилась до $810 000.

Franklin Templeton раскрыла детали спотового ETF на SOL с холдом в 17 000 монет

Franklin Templeton объявила, что спотовый ETF на Solana содержит 17 000 токенов на сумму около $2,4 млн, хранящихся в Coinbase Custody. В обращении сейчас 100 000 акций фонда с комиссией 0,19%, а доход включает вознаграждения за стейкинг SOL.

Доходность 10-летних казначейских облигаций США достигла максимума с ноября 2020 года

Доходность 10-летних казначейских облигаций США выросла на 2 базисных пункта до 4,12%, достигнув максимума с ноября 2020 года. Доходность 30-летних облигаций поднялась до 4,78%, обновив максимум с 25 сентября.