SlowMist и GoPlus Security: хакер обошел блокировку Balancer с помощью функции permit

526

2 мин

Инцидент с протоколом Balancer показал новый способ обхода заморозки активов через функцию permit(), предусмотренную стандартом EIP-2612. Хакер смог вывести около $3 млн в токенах stS, используя oфчейн-подпись, не требующую газа от заблокированного адреса. После получения доступа к криптоактивам злоумышленник обменял активы на WBTC и ETH, что позволило ему окончательно вывести средства из-под контроля команды проекта.

По данным GoPlus Security, атака произошла утром, когда с адреса, замороженного проектом Sonic Labs, было переведено 19,5 млн stS. Заморозка на уровне сети действовала только для нативного токена S, однако ERC-20 stS оставался доступен для операций. Это позволило хакеру использовать функцию permit() для подписания транзакции за пределами блокчейна, а затем выполнить команду transferFrom(), фактически обойдя ограничения блокировки.

Представители SlowMist отметили, что предупреждали о подобных фишинговых схемах, связанных с офчейн-подписями. Они часто используются юзерами на неизвестных сайтах, предоставляющих dApp-услуги, после чего злоумышленники получают возможность проводить транзакции от имени владельца кошелька. В отличие от обычной функции approve(), которая требует активного подтверждения со стороны владельца, permit() дает возможность создавать авторизационные подписи вне сети и применять их впоследствии без участия пользователя.

Эксперты объясняют, что permit() изначально разрабатывалась для удобства — чтобы юзеры могли взаимодействовать со смарт-контрактами без необходимости тратить газ на подтверждение разрешений.

Однако в данном случае именно этот механизм стал уязвимостью, так как заморозка на уровне токена не перекрыла возможность подписи и выполнения разрешения через permit(). Представители GoPlus Security подчеркнули, что подобные инциденты указывают на необходимость внедрения комплексной системы безопасности, которая учитывает как ончейн-, так и офчейн-взаимодействия. В частности, рекомендуется использовать предварительные проверки транзакций, способные выявлять подозрительные подписи и попытки передачи разрешений до их выполнения. Также следует оперативно реагировать на инциденты и иметь механизмы перехвата активов на обоих уровнях.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Спред между SKHX и SKHY вырос почти до 40%, крупные инвесторы нарастили парные позиции на $49,315 млн

Котировки SKHX на Hyperliquid на момент публикации составляли $1 359,6, а SKHY — $190,05, при этом премия SKHY к SKHX достигла около 39,8%, увеличившись с 33,9% за неделю. На этом фоне шесть крупных адресов за последние два дня открыли длинные позиции по SKHX примерно на $24,439 млн и короткие по SKHY примерно на $24,876 млн, доведя общий номинальный объем до $49,315 млн. Сейчас эти адреса удерживают длинные позиции по SKHX примерно на $22,184 млн и короткие по SKHY на $22,845 млн: совокупная нереализованная прибыль по шортам составляет около $481 000, а убыток по лонгам — около $581 000. С момента открытия позиций они заплатили около $52 400 комиссии за финансирование, однако по состоянию на 19:09 текущая ставка по SKHX стала отрицательной, и портфель начал приносить около $4 890 в час.

Капитализация STONK превысила $280 млн и обновила максимум

Рыночная капитализация STONK, токена платформы StonkFun на Solana, превысила $280 млн и достигла нового исторического максимума на уровне $286 млн. По данным GMGN, за последние 24 часа показатель вырос на 56%. StonkFun позволяет запускать токены и создавать пары с разными активами, включая токенизированные акции, валюты, сырьевые товары и криптовалюты. Проект позиционирует STONK как токен, связанный с ликвидностью реальных активов в экосистеме Solana.

Капитализация мемкоина Flybrain упала до $12 млн после краткого роста выше $55 млн

Капитализация мемкоина Flybrain от Robinhood, торгуемого в блокчейне, за последние 6 часов снизилась более чем на 60% и сейчас составляет $12 млн, хотя ранее сегодня ненадолго превышала $55 млн, по данным GMGN. Ранее соучредитель a16z Марк Андрессен подписался на официальный аккаунт проекта в Х, а создатели Flybrain заявляют, что использовали данные о мозге плодовой мухи, включая 165 122 нейрона и 10 228 000 синаптических связей, для запуска мемкоина.

Standard Chartered дал прогноз по SKY: $0,325 к концу 2028 года

Standard Chartered начал аналитическое покрытие токена SKY и установил целевую цену на уровне $0,325 к концу 2028 года против текущей оценки в $0,065, что предполагает потенциал роста в 5 раз. В банке считают, что этому помогут расширение использования USDS и рост доходов экосистемы Sky, которая ранее была известна как MakerDAO.

Опрос Bloomberg: большинство экономистов не ждут повышения ставки ФРС в ближайший год

Опрос Bloomberg среди 48 экономистов, проведенный с 4 по 9 сентября, показал, что только 13 респондентов ждут повышения ставки ФРС на заседании в этом месяце, а большинство прогнозирует сохранение ставки без изменений в сентябре и октябре. При этом рынки оценивают вероятность повышения уже на следующей неделе в 70%, что отражает расхождение между ожиданиями экономистов и инвесторов. По мнению участников опроса, на решение ФРС влияют замедление инфляции и близость промежуточных выборов в США 3 ноября: половина респондентов считает, что для изменения ставки перед голосованием потребуются особенно сильные данные, хотя 43% не ждут заметного влияния выборов на политику регулятора.