Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

644

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Спотовые ETF на BTC фиксируют отток пятую неделю подряд — $3,8 млрд за период

Американские спотовые ETF на BTC пятый раз подряд закрыли неделю с чистым оттоком: за 5 недель инвесторы вывели около $3,8 млрд, а за последнюю неделю — $315,9 млн, при этом максимум пришёлся на 30 января и составил $1,49 млрд. Несмотря на отдельные дни притока (например, около $88 млн в прошлую пятницу), с момента запуска эти фонды сохраняют чистый приток почти $54,01 млрд при чистых активах около $85,31 млрд (примерно 6,3% от рыночной капитализации BTC); спотовые ETF на ETH также в минусе 5 недель подряд, включая около $123,4 млн оттока за последнюю неделю, на фоне снижения аппетита к риску и ожиданий по ставкам ФРС США.

Глава Coinbase: компания хранит более 80% активов BTC и ETH ETF в США, приток в фонды может достичь $31 млрд к 2025 году

Генеральный директор Coinbase Брайан Армстронг сообщил, что Coinbase хранит более 80% активов BTC и ETH ETF в США. По его оценке, чистый приток средств в ETF может достичь пика в $31 млрд к 2025 году. Он добавил, что Coinbase сотрудничает со многими провайдерами ETF, а также регулярно проводит проверки и тесты безопасности.

На Polymarket снизили шансы на рост BTC до $75 000 в феврале до 17%

На платформе Polymarket вероятность того, что BTC восстановится до $75 000 в феврале, упала до 17%. Оценка шанса роста до $80 000 составляет 3%, а сценария снижения до $60 000 — 14%.

Токен YGG вырос более чем на 21% за сутки и торгуется по $0,0484

По данным рынка HTX, за последние 24 часа токен YGG подорожал более чем на 21% и сейчас торгуется по $0,0484.

Polymarket оценил риск падения BTC до $55 000 до 73%

На платформе Polymarket вероятность того, что к 2026 году цена BTC достигнет $55 000, оценивается в 73%. Шансы на рост до $100 000 участники рынка ставят на уровне 38%.