Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

547

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Глобальный приток цифровых активов достигнет $472 млрд в 2025 году

По итогам 2025 года общий приток средств в глобальные инвестиционные продукты цифровых активов составил $47,2 млрд, немного ниже рекорда $48,7 млрд 2024 года; только за прошлую пятницу приток достиг $671 млн, а недельный чистый приток — $582 млн. В 2025 году лидером по притоку стала Соединенные Штаты с $47,2 млрд, что на 12% меньше, тогда как Германия показала рост до $2,5 млрд после оттока $43 млн в 2024 году, а Канада — до $1,1 млрд после оттока $603 млн; Швейцария привлекла $775 млн, рост 11,5%. Приток в продукты, ориентированные на биткоин, сократился на 35%, и по прогнозам в 2025 году он составит $26,9 млрд; спрос на шорт-продукты дал приток $105 млн при общем AuM $139 млн.

Если Ethereum пробьет $3300, краткие ликвидации на CEX могут достигнуть $794 млн

По данным Coinglass от 5 января, при пробое уровня $3300 совокупный объём коротких ликвидаций на основных CEX достигнет $794 млн. При падении Ethereum ниже $3000 совокупная интенсивность длинных ликвидаций на основных CEX может составить $1,122 млрд. Графики ликвидаций отражают относительную интенсивность кластеров ликвидности и не показывают точное число контрактов или их стоимость.

U.S. Bank разрешил советникам рекомендовать клиентам до 4% в биткоине

U.S. Bank, под управлением которого $1,7 триллиона, с сегодняшнего дня разрешил советникам по управлению состоянием рекомендовать клиентам выделять от 1 до 4% активов в биткоине. Консультанты сначала сосредоточатся на четырех физических ETF на биткоин: IBIT от BlackRock, FBTC от Fidelity, BITB от Bitwise и BTC от Grayscale. Рынок рассматривает этот шаг как очередной знак смягчения отношения крупных финансовых институтов к криптовалютам, что может сделать 2026 год ключевым для рынка.

Азиатские рынки растут: Nikkei и KOSPI обновили рекорды

Nikkei 225 вырос на 1 493,32 пункта, или на 2,97%, и закрылся на отметке 51 832,80 пункта, при этом лидировали акции чипов и тяжелой промышленности. KOSPI поднялся на 147,89 пункта, или на 3,43%, до 4 457,52 пункта, обновив исторический максимум; акции производителей микросхем и оборонных товаров подскочили на 7,47%, что стало крупнейшим однодневным ростом с 24 марта 2020 года.

Главного фигуранта трансграничного криптомошенничества в Пекине приговорили к 12 годам

Высший народный суд Пекина признал Ля виновным в трансграничном мошенничестве через телекоммуникационные приложения: он вербовал людей в зарубежных чатах для покупки криптовалют и инвестиций, а похищенные средства переводились через криптовалюту. Суд установил общую сумму хищений в $900,000 (более ¥5,000,000) и назначил Лю 12 лет лишения свободы и штраф.