Исследователи BlockSec: эксплойт в экосистеме 1inch привел к потерям свыше $5 млн

669

2 мин

21.02.2026

Аналитики компании по безопасности блокчейнов BlockSec напомнили, что 5 марта 2025 года сторонний resolver-контракт, подключенный к протоколу Fusion V1 от 1inch, подвергся скоординированной атаке. Эксперты оценили последствия инцидента. Они отметили, что общие потери превысили $5 млн.

По словам исследователей, причиной атаки стала небезопасная реконструкция «calldata» в процессе «settlement». Злоумышленник использовал контролируемую длину взаимодействия, что вызвало «pointer underflow» при сборке суффикса и позволило внедрить поддельные данные расчета. В результате атакующий смог инжектировать «forged settlement data», сохранив прохождение всех проверок доступа.

Ключевым фактором стала ошибка в границе доверия: «resolver-контракты» автоматически доверяли «calldata», переданным «settlement-контрактом». Это позволило вредоносным данным унаследовать полномочия уровня «settlement», несмотря на формальное соблюдение «access control».

Эксперты подчеркнули, что инцидент выделяется среди крупнейших DeFi-атак 2025 года не использованием новой финансовой модели, а «эксплуатацией предположений о структуре ABI и layout-памяти». Уязвимость фактически объединила методы классической бинарной атаки с логикой смарт-контрактов.

Среди ключевых выводов, эксперт выделили несколько аспектов:

Нельзя полагаться на корректность динамически формируемых данных, если их структура частично контролируется пользователем.
Проверки безопасности должны выполняться на каждой границе доверия, а не делегироваться upstream-компонентам.
Поддержка устаревших модулей, включая Fusion V1, увеличивает поверхность атаки.
Низкоуровневая логика памяти в on-chain-среде способна воспроизводить уязвимости, характерные для традиционного ПО.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Казахстан намерен выпустить токенизированные гособлигации в I квартале 2027 года

Казахстан планирует разместить токенизированные государственные облигации в I квартале 2027 года для развития инфраструктуры цифровых активов на рынке суверенного долга. Глава Нацбанка Тимур Сулейменов сообщил, что проект готовится совместно с Министерством финансов, после того как в этом месяце состоялась первая продажа токенизированных нот Центробанка на сумму около $22,3 млн. Ранее Нацбанк Казахстана разместил на KASE 91-дневные векселя на 50 млрд тенге, или около $112 млн, включая 10 млрд тенге в токенизированной форме. Средневзвешенная доходность бумаг составила 15,72%, а спрос превысил объем выпуска в 1,4 раза; платформа цифровых активов KASE работает на Solana, а BitGo обеспечивает хранение.

Эрик Вурхис купил 48 647 ETH на $97 млн за 4 дня

Основатель ShapeShift Эрик Вурхис, которого считают одним из первых сторонников BTC, за последние 4 дня, вероятно, купил 48 647 ETH на $97 млн, следует из данных Lookonchain. Средняя цена покупки составила $1 994, а на связанных с ним кошельках, по данным мониторинга, остается $78,68 млн в стейблкоинах, что может указывать на готовность к новым покупкам.

Глобальные фонды акций за неделю привлекли $98 млрд на фоне покупок на спаде

За эту неделю глобальные фонды акций получили чистый приток в $98 млрд — это второй по величине недельный результат в истории и пятая неделя притока подряд. Совокупный приток за этот период достиг около $350 млрд, а 4-недельное среднее выросло примерно до $75 млрд, превысив пик 2021 года, когда показатель составлял около $45 млрд. Фонды технологического сектора за неделю привлекли $2,6 млрд, а за последние три недели — $9,1 млрд, что указывает на сохраняющийся интерес инвесторов к покупкам акций на снижении.

Уход Дженсена Хуанга усилил тревогу Уолл-стрит вокруг финансовой модели Nvidia

После ухода Дженсена Хуанга аналитики Goldman Sachs, UBS и еще 14 компаний понизили целевые цены Nvidia и предупредили: если компания временно прекратит финансировать клиентов и поставщиков, рынок может лишиться более $50 млрд ликвидности. На этом фоне акции CoreWeave, зависящей от поддержки Nvidia, за день упали на 11%, а перспективы ее кредита на $4 млрд, гарантированного Nvidia, оказались под вопросом. За последние три года Nvidia выстроила сеть финансирования в сфере ИИ с $99 млрд инвестиций в капитал, $108,5 млрд гарантий и $56 млрд соглашений о выкупе акций, но эта платформа объемом $500 млрд уже три месяца не заключает новых сделок. 17 ноября временный гендиректор и финансовый директор Колетт Кресс на телеконференции по отчетности должна прояснить, продолжит ли компания поддерживать эту модель.

Binance добавила прямую покупку bStocks за фиат на страницах Конвертировать и Купить/Продать

Binance запустила на страницах Конвертировать и Купить/Продать прямую покупку токенизированных акций BSTOCKS за фиатные валюты. Пользователи могут оплачивать покупку с помощью 49 фиатных валют, а также использовать фиатный баланс, банковскую карту, Apple Pay и Google Pay без предварительного обмена на криптовалюту.