Ошибка оракула Chainlink привела к краже $2 млн из DeFi-протоколов

153

2 мин

DeFi
безопасность
инцидент
контракт
Chainlink
CertiK
залог

Неправильная работа оракула Chainlink стала причиной крупной серии атак на DeFi-протоколы. Ошибка в передаче данных о цене токена wrstETH, которая временно показывала $5,8 млн вместо реальных $3000, позволила злоумышленнику провести серию эксплойтов, начав с Moonwell. По данным CertiK, хакер использовал флеш-займ на 0,02 wrstETH, внес его как залог и смог неоднократно брать кредиты более чем на 20 wstETH, в результате чего украл 295 ETH, что эквивалентно примерно $1 млн.

Эксперт под псевдонимом Dami возложил ответственность на сервис Chainlink, данные которого стали ключевым источником уязвимости. Согласно заявлению специалиста, ошибка оракула позволила системе переоценить актив и выдать заем под завышенную стоимость. Вследствие этого смарт-контракт Moonwell непреднамеренно предоставил хакеру возможность многократного кредитования без достаточного обеспечения.

Позже аналитик под псевдонимом Specter сообщил, что тот же злоумышленник ранее уже эксплуатировал протокол Moonwell 10 октября. Тогда мошеннику удалось вывести 269 ETH (около $1 млн). Судя по всему, команда проекта не устранила уязвимость. Это позволило злоумышленнику вернуться и повторно провести атаку, увеличив общие потери до более чем $2 млн.

Кроме того, стало известно, что этот же адрес был замешан в ряде аналогичных эксплойтов других лендинговых протоколов, включая Venus Protocol ($664 тыс.), TakaraLend ($450 тыс.), а также атаковал небольшие проекты вроде LobsterFi и OrbiterOne. Несмотря на схожие признаки, большинство пострадавших команд не делали официальных заявлений, что вызывает обеспокоенность у исследователей из сектора безопасности.

По данным Specter, злоумышленник действует в течение года, эксплуатируя слабые места в системах оракулов и риск-моделях DeFi-протоколов. Его стратегия основывается на поиске несанкционированных расхождений между ценовыми фидами и реальными данными, которые позволяют проводить атаки без непосредственного взлома смарт-контрактов. Последний инцидент вновь поставил под сомнение надежность оракульных решений.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

XMAQUINA предлагает выделить $800 000 на покупку акций 1X Technologies

Компания XMAQUINA Community предложила выделить $800 000 из казны DAO на покупку обыкновенных акций 1X Technologies через норвежскую холдинговую компанию 1X Holding AS. 1X Technologies занимается разработкой человекообразных роботов, включая модель NEO Gamma, которая сейчас доступна на предпродаже. Голосование по предложению завершится 11 ноября.

Спотовое золото превысило $4060 за унцию, серебро подорожало до $49,31

10 ноября спотовое золото выросло на 1,47% и превысило отметку $4060 за унцию. Спотовое серебро также подорожало на 2,00%, достигнув цены $49,31 за унцию.

Aster начал четвертый этап распределения токенов

Проект Aster перешел к четвертому этапу — "Урожай Астера", в рамках которого будет распределено 1,5% от общего запаса токенов. Эти токены разделят на шесть недельных периодов по 0,25% каждый. Этап продлится до 22 декабря 2025 года, заявки на получение токенов начнут принимать с 15 декабря.

Джеймс Уинн поставил на падение биткоина до $92 000

Джеймс Уинн объявил, что перевел 30% своих стейблкоинов в короткую позицию с кредитным плечом, ожидая падения биткоина до диапазона $67 000-92 000. Он отметил, что избавился от всех криптоактивов, кроме долгосрочных запасов BTC, и готов доказать свою правоту.

Trump Media & Technology Group увеличила инвестиции в биткоин до $1,3 млрд

Trump Media & Technology Group отчиталась о квартальном убытке в $54,8 млн при выручке в $0,97 млн. Компания вложила в биткоин $1,3 млрд, а прибыль от опционов на криптовалюту составила $15,3 млн. Кроме того, она владеет более 746 млн токенов Cronos с нереализованной прибылью в $33 млн.