Исследователи BlockSec: эксплойт в экосистеме 1inch привел к потерям свыше $5 млн

350

2 мин

21.02.2026

Аналитики компании по безопасности блокчейнов BlockSec напомнили, что 5 марта 2025 года сторонний resolver-контракт, подключенный к протоколу Fusion V1 от 1inch, подвергся скоординированной атаке. Эксперты оценили последствия инцидента. Они отметили, что общие потери превысили $5 млн.

По словам исследователей, причиной атаки стала небезопасная реконструкция «calldata» в процессе «settlement». Злоумышленник использовал контролируемую длину взаимодействия, что вызвало «pointer underflow» при сборке суффикса и позволило внедрить поддельные данные расчета. В результате атакующий смог инжектировать «forged settlement data», сохранив прохождение всех проверок доступа.

Ключевым фактором стала ошибка в границе доверия: «resolver-контракты» автоматически доверяли «calldata», переданным «settlement-контрактом». Это позволило вредоносным данным унаследовать полномочия уровня «settlement», несмотря на формальное соблюдение «access control».

Эксперты подчеркнули, что инцидент выделяется среди крупнейших DeFi-атак 2025 года не использованием новой финансовой модели, а «эксплуатацией предположений о структуре ABI и layout-памяти». Уязвимость фактически объединила методы классической бинарной атаки с логикой смарт-контрактов.

Среди ключевых выводов, эксперт выделили несколько аспектов:

Нельзя полагаться на корректность динамически формируемых данных, если их структура частично контролируется пользователем.
Проверки безопасности должны выполняться на каждой границе доверия, а не делегироваться upstream-компонентам.
Поддержка устаревших модулей, включая Fusion V1, увеличивает поверхность атаки.
Низкоуровневая логика памяти в on-chain-среде способна воспроизводить уязвимости, характерные для традиционного ПО.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Основатель Liquid Capital: конец войны близок, а новый кризис проверит BTC как «тихую гавань»

Основатель Liquid Capital (ранее LD Capital) Ли Сяохуа заявил, что мотивация сторон продолжать войну снижается, а достижение мирного соглашения может стать сильным позитивным сигналом для рынков. По его словам, инвесторы в средне- и долгосрочной перспективе ждут возможного масштабного финансового кризиса, и в таком сценарии BTC станет проверкой на статус защитного актива и может дать возможность купить на низких уровнях. Он также отметил, что развитие ИИ открывает новые возможности для предпринимателей, позволяя небольшим командам создавать глобальные продукты с меньшими затратами.

Акции компаний в Гонконге, связанных с данными и ИИ, выросли вопреки рынку: Xunce прибавила более 7%

На торгах в Гонконге ряд компаний, связанных с концепцией бизнеса на данных, показал рост вопреки общей динамике рынка. Акции Xunce выросли более чем на 7%, Zhipu — на 3,63%, MINIMAX-W — на 1%. Накануне Xunce сообщила о стратегическом сотрудничестве с Shenzhen Data Exchange для развития проектов в сфере данных и ИИ, включая цифровую трансформацию и создание стандартов и наборов данных для обучения ИИ.

Сэйлор: Strategy сможет бесконечно платить дивиденды при росте BTC выше 2,05% в год

Основатель Strategy Майкл Сэйлор сообщил, что годовая реальная доходность инвестиций компании в BTC составляет около 2,05%. По его словам, если биткоин будет дорожать быстрее этого уровня, Strategy сможет выплачивать дивиденды на неопределённый срок без дополнительной эмиссии акций MSTR.

На этой неделе ARB, YZY, DBR и другие проекты проведут крупные разовые разблокировки токенов

На этой неделе, по данным Token Unlocks, несколько криптопроектов проведут разовые разблокировки токенов. Среди них: 13 апреля CHEEL — 6,42 млн токенов на $2,67 млн (0,82%), 14 апреля DEP — 1,7 млрд на $1,91 млн (6,90%), 15 апреля XCN — 296,38 млн на $1,40 млн (0,78%), CONX — 1,32 млн на $15,95 млн (1,52%), STRK — 127 миллионов на $4,28 миллиона (4,22%). Также запланированы ARB — 92,65 миллиона на $10,43 миллиона (1,75%) 16 апреля, DBR — 618,33 млн на $9,10 млн (12,90%) 17 апреля, KAT — 189,29 млн на $1,52 млн (8,08%) и YZY — 20,83 млн на $6,37 млн (4,67%) 18 апреля.

Спотовая цена на золото за день упала на 2,12% до $4650 за унцию

По данным Bitget, спотовая цена на золото снизилась до $4650 за унцию. За сутки котировки потеряли 2,12%.