Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

682

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Европейские биржи закрылись снижением: DAX30 упал на 1,72%

Европейские фондовые рынки в четверг закрылись в минусе на фоне роста геополитической напряженности и ухода инвесторов от риска. DAX30 потерял 416,98 пункта 1,72% до 23799,28, FTSE 100 снизился на 154,76 пункта 1,46% до 10412,89, а CAC40 — на 121,93 пункта 1,49% до 8045,80. Euro Stoxx 50 опустился на 89,42 пункта 1,52% до 5781,50, IBEX35 — на 271,33 пункта 1,55% до 17219,87, FTSE MIB — на 694,38 пункта 1,53% до 44642,50.

Спотовое золото подешевело на $60 и упало на 1,59% за день

По данным Bitget, цена на спотовое золото в краткосрочной перспективе снизилась на $60 и опустилась ниже $1060 за унцию. Суточное падение составило 1,59%.

Представитель ФРС: инфляция остаётся высокой уже несколько месяцев

Представитель Федеральной резервной системы Томас Баркин сообщил, что инфляция остаётся повышенной уже несколько месяцев, что временно ставит под сомнение тезис о том, что её удалось обуздать. По его словам, последние данные по занятости выглядят обнадёживающе, при этом политика ФРС остаётся достаточно жёсткой, а спрос всё ещё высокий.

В США число новых заявок на пособие по безработице оказалось ниже прогноза

За неделю, завершившуюся 28 февраля, в США подали 213 000 первичных заявок на пособие по безработице, что ниже ожиданий рынка в 215 000. Показатель стал максимальным с недели, закончившейся 7 февраля.

OKB подскочил более чем на 50% и торгуется по $117 на фоне слухов об инвестициях в OKX

OKB за короткий период вырос более чем на 50% и сейчас торгуется по $117. Рынок отреагировал на сообщения о возможных инвестициях материнской компании NYSE в OKX при оценке $25 миллиардов, а капитализация OKB достигла $16,48 миллиарда.