Эксперты Halborn: На самом деле хакеры вывели из ALEX Protocol в 2 раза больше криптовалюты

587

2 мин

В июне 2025 года децентрализованный протокол Alex Lab (ALEX Protocol), работающий на блокчейне Stacks и позиционирующий себя как «финансовый слой для Биткоина», подвергся масштабной хакерской атаке. По данным официального отчета компании, общий объем украденных средств составил $8,3 млн, однако независимые аналитики из Halborn указывают на более серьезный реальный ущерб — $16,18 млн, включая активы, не отраженные в официальной инвентаризации.

По словам аналитиков, суть атаки заключалась в использовании уязвимости в системе контроля доступа хранилища токенов Alex Lab. Злоумышленник создал поддельный токен с именем ssl-labubu-672d3, в смарт-контракт которого была встроена вредоносная функция transfer.

Затем хакер организовал пул Labubu/STX и вызвал функцию set-approved-token, в результате чего контракт ALEX предоставил вредоносному токену права доступа к хранилищу. Получив эти полномочия, злоумышленник изменил значение флага set-enable-farming. Это активировало встроенную вредоносную функцию.

Во время выполнения стандартной операции swap-x-for-y контракт Alex Lab обращался к поддельной функции transfer вредоносного токена, используя команду as-contract. Это позволяло выдавать хранилище протокола за отправителя транзакции, в то время как настоящим инициатором был сторонний смарт-контракт. Таким образом злоумышленник смог обойти механизмы защиты и вывести хранимые средства.

После инцидента команда Alex Lab заявила о намерении полностью возместить украденные критовалюты в соответствии с официальным перечнем утраченных активов. Однако в этот список не вошли некоторые токены, в том числе aBTC и ALEX, перемещенные в ходе атаки, что и объясняет расхождение в оценках ущерба — $8,3 млн против $16,18 млн.

По мнению исследователей, ключевой причиной взлома стала ошибка в логике контроля доступа, которая позволила вредоносному токену получить права хранилища. Несмотря на то что ранее проект прошел аудит новых функций, эксплуатируемый злоумышленником код не входил в область проверки, из-за чего уязвимость осталась незамеченной.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Финансирование под залог GPU для ИИ может превысить $1 трлн, облигации CoreWeave упали до 80% от номинала

На фоне роста вложений в инфраструктуру ИИ финансирование под залог GPU становится одним из ключевых источников средств для отрасли, а его объем в будущем может превысить $1 трлн. Broa com обсуждает с банками Уолл-стрит привлечение $60 млрд для Anthropic, SpaceX, по данным источников, ищет $40 млрд на чипы Nvidia, а Nvidia ранее договорилась о сотрудничестве на $500 млрд с шестью финансовыми учреждениями. Аналитики JPMorgan считают, что расходы на чипы до 2030 года могут превысить $3 трлн, при этом значительная часть будет покрыта за счет долгового финансирования. Одновременно риски растут: облигации CoreWeave недавно снизились до 80% от номинала, а их доходность поднялась примерно до 15%, что показывает опасения инвесторов по поводу окупаемости вложений в ИИ.

Bybit Kazakhstan и Alatau City Authority подписали меморандум о сотрудничестве

Bybit Kazakhstan объявила о подписании меморандума о сотрудничестве с СОУ Alatau City Authority. Это особая организация управления, отвечающая за функционирование и развитие города Алатау в...

Bybit получила в Дубае полную лицензию на спотовую торговлю

Криптобиржа Bybit сообщила, что ее структура Bybit Fintech FZE получила от регулятора VARA полную лицензию на биржевые услуги, включая спотовую торговлю в Дубае. Лицензия позволяет работать с розничными, квалифицированными и институциональными инвесторами, однако перед запуском компания должна выполнить дополнительные требования регулятора, а дату начала работы пока не раскрывает. Ранее, в октябре 2025 года, Bybit также получила федеральную лицензию SCA в ОАЭ, но она не распространяется на Дубай.

CryptoQuant назвала рост хешрейта биткоина возможным сигналом к подорожанию BTC

Семидневный средний хешрейт биткоина впервые с марта превысил 1 ZH/s и достиг 1000 EH/s, а с июля показатель вырос примерно на 45% — с 726 до 1050 EH/s. В CryptoQuant считают, что это может поддержать рост BTC, поскольку усиление вычислительной мощности повышает безопасность сети и отражает долгосрочную уверенность инвесторов в биткоине. При этом 16 октября сложность майнинга выросла на 5,92% до 140,58 T, а следующий перерасчет, по оценке BlocksBridge, может добавить еще около 5,16%. Рост хешрейта повышает затраты майнеров и усиливает конкуренцию, однако дальнейшая динамика BTC по-прежнему будет зависеть прежде всего от рыночного спроса.

HSBC запустил стейблкоин RedCoin в гонконгских долларах для платежей через PayMe

HSBC выпустил свой первый стейблкоин в гонконгских долларах — RedCoin (RCHKD) — для переводов и оплаты покупок через приложение PayMe. В ближайшие дни более 3,3 млн пользователей PayMe смогут подключить кошельки RedCoin, при этом токен можно обменивать на гонконгские доллары в соотношении один к одному. Позже в этом году банк добавит кошельки RedCoin в приложение HSBC HK Mobile Banking и откроет доступ к подписке на токенизированные инвестиционные продукты, включая новый класс акций фонда денежного рынка в гонконгских долларах. HSBC также намерен расширить использование стейблкоина в корпоративном и институциональном сегментах.