Эксперты Beosin раскрыли схему взлома Cork Protocol и определили ключевые уязвимости

386

2 мин

06.06.2025

токены
безопасность
Активы
ликвидность
Компании
бизнес
злоумышленники
миксеры

Аналитики компании Beosin опубликовали подробный разбор недавнего взлома Cork Protocol, в результате которого злоумышленники вывели 4530 ETH. Специалисты объяснили бизнес-логику работы платформы и показали, как были использованы уязвимости в смарт-контрактах. Cork Protocol занимается токенизацией рисков отвязки активов от курса, таких как stETH, выпуская несколько видов токенов: Redemption Asset, Pegged Asset, Depeg Swaps и Cover Token.

Согласно отчету Beosin, атакующий создал фиктивный рынок, задействовав существующие токены реального сектора (RWA). Злоумышленник использовал токен weETH8DS-2 как Depeg Swaps в реальном пуле и как Redemption Asset в поддельном. Затем он приобрел Cover Tokens на рынке и активировал уязвимость в функции beforeSwap() контракта CorkHook. Передав вредоносные данные в CorkCall(), хакер принудил систему разделить weETH8DS-2 на фиктивные Depeg Swaps и Cover Tokens, которые снова конвертировались в исходные активы.

Это позволило злоумышленнику перенести ликвидность Depeg Swaps из настоящего пула в фиктивный, а затем обналичить ее в Redemption Assets, фактически выведя средства с реального рынка. Beosin указала на 2 основные уязвимости: отсутствие проверки, используется ли Depeg Swap как Redemption Asset в других пулах, и валидации пользовательских данных, передаваемых в CorkCall.

По сведениям системы Beosin Trace, все украденные средства в объеме 4 530,6 ETH на текущий момент остаются на адресе злоумышленника. Эксперты подчеркнули, что средства пока не перемещались и не отмывались через миксеры или биржи.

Представители Beosin рекомендовали разработчики Cork оперативно внедрить полноценную систему валидации входных данных и ограничить использование Depeg Swaps в роли Redemption Assets внутри одного и того же протокола. Также аналитики отметили важность независимых аудитов и интеграции многоуровневой авторизации для всех функций обмена и вызова внешних контрактов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Рыночная капитализация Ethereum опустилась на 86-е место среди мировых активов

На фоне падения Ethereum ниже $2000 его рыночная капитализация снизилась до $231,97 млрд. По данным 8 Market, показатель оказался ниже, чем у PepsiCo ($232,18 млрд), и это опустило ETH на 86-е место в рейтинге крупнейших активов мира.

BTC опустился ниже $66 000 и потерял 4,5% за сутки

BTC упал ниже $66 000, снизившись на 4,5% за последние 24 часа, свидетельствуют данные рынка HTX.

BTC поднялся выше $68 000 на фоне снижения за сутки на 1,5%

По данным рынка HTX, BTC отскочил и поднялся выше $68 000. За последние 24 часа цена монеты снизилась на 1,5%.

Uniswap Labs и Securitize помогут повысить ликвидность BUIDL от BlackRock

Uniswap Labs начала сотрудничество с Securitize, чтобы обеспечить ликвидность BUIDL — проекта под эгидой BlackRock.

Bernstein сохранила прогноз роста Robinhood на 87% несмотря на падение криптовыручки

Акции Robinhood снизились после отчета о падении доходов от криптоторговли в 4 квартале на 38% до $221 млн, но Bernstein назвала это временной слабостью на крипторынке и подтвердила целевую цену $160. Общая выручка платформы обновила рекорд, а Robinhood Banking, запущенный в конце 2025 года, привлек более 25 000 пополненных счетов с общим балансом свыше $400 млн. Аналитики также отметили рекорд на прогнозном рынке: около 14% торгового дохода и 8% общего дохода, при этом в 4 квартале заключили 8,5 млрд контрактов, а объем торгов в начале 2026 года достиг $4 млрд при прежнем прогнозе на 2026 год в $27 млрд.