Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

650

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Трейдеры снизили ожидания июньского снижения ставки ФРС

Трейдеры сократили ставки на снижение ставки ФРС: вероятность уменьшения на 25 базисных пунктов в июне сейчас оценивается в 50%. Об этом сообщает Kryptonite.

Валюты Австралии, Норвегии и Новой Зеландии выросли на фоне ожиданий нового цикла повышения ставок

Австралийский доллар, норвежская крона и новозеландский доллар с начала года прибавили примерно на 6%, 5% и 4% и стали лидерами среди валют G10, поскольку трейдеры закладывают более высокие глобальные ставки. Резервный банк Австралии в этом месяце начал новый раунд повышения, а «усредненная» инфляция ускорилась до 3,4%, усилив ожидания еще одного шага в мае; в Норвегии и Новой Зеландии рынок также обсуждает повышение ставок из-за устойчивой инфляции. Дополнительную поддержку этим валютам дают рост цен на нефть и медь и переток капитала в страны с более устойчивыми финансами на фоне ослабления доллара США, хотя по ФРС часть участников рынка по-прежнему ждет 2–3 снижения ставки в этом году.

Nikkei 225 обновил исторический максимум, прибавив 2,20%

Индекс Nikkei 225 по итогам торгов вырос на 1262,03 пункта 2,20% и закрылся на рекордной отметке 58583,12 пункта, следует из данных Bitget.

NEAR запустил Confidential Intents для конфиденциальных межсетевых транзакций в DeFi

NEAR представил Confidential Intents — функцию в NEAR Intents, которая скрывает детали кросс-чейн транзакций на время их выполнения и расчета, решая проблему полной прозрачности операций в DeFi. Пользователи могут переключаться между обычным и конфиденциальным счетом для переводов, депозитов и вывода средств, а в ближайшее время разработчики планируют добавить конфиденциальность для обмена. Решение рассчитано на институциональных инвесторов, компании и активных пользователей DeFi, которым важна защита данных по межсетевым позициям.

Citrini Research с середины ноября ставила на падение BTC и рост Nasdaq

Citrini Research с 17 ноября прошлого года держала короткую позицию по BTC и длинную по Nasdaq, следует из прошлых постов аккаунта в X. 1 февраля компания написала, что «сожалеет, что закрыли позицию слишком рано», а на прошлое Рождество прогнозировала снижение BTC в первой половине этого года до $69 000. Ранее Citrini Research выпустила доклад о рисках ИИ для рынка «белых воротничков», после чего американский фондовый рынок резко снизился в понедельник.