Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

640

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Золото резко дернулось после решения Верховного суда США по торговому делу Трампа

По данным Bitget, после решения Верховного суда США по торговому делу президента Дональда Трампа спотовое золото краткосрочно просело с $5063,96 за унцию до $4990,9 за унцию, потеряв $73. Затем котировки восстановились до $5052 за унцию, отскочив примерно на $61 от минимума. Аналитик Джеймс Атей заявил, что рынок пока не понимает, как реагировать, а ключевая неопределенность связана с возможным возмещением таможенных пошлин.

ФРБ Бостона: нейтральная ставка может быть на 0,25–0,5 п.п. ниже текущей

Федеральный резервный банк Бостона сообщил, что нейтральная процентная ставка может быть на 0,25–0,5 процентных пункта ниже текущей ставки денежно-кредитной политики.

Ожидаемая инфляция в США в феврале составила 3,4%

Ожидаемый годовой уровень инфляции в США по итогам февраля составил 3,4% при прогнозе 3,50%. В январе показатель был на уровне 3,50%.

Предварительные PMI в США за февраль оказались ниже прогнозов

Предварительный индекс деловой активности Markit Global Services PMI в сфере услуг США в феврале составил 52,3 при ожиданиях 53. Показатель Markit Global Manufacturing PMI в промышленности опустился до 51,2, тогда как прогноз был 52,6.

Рост ВВП США в четвертом квартале замедлился до 1,4% на фоне падения расходов и последствий шатдауна

Экономика США в четвертом квартале выросла на 1,4% в годовом выражении, что заметно ниже прогноза Reuters в 3,0%, на фоне последствий прошлогоднего закрытия правительства и замедления потребительских расходов. Дональд Трамп заявил, что шатдаун мог снизить ВВП как минимум на два процентных пункта, призвал не допускать нового закрытия правительства и попросил снизить процентные ставки.