Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

639

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

В США гражданина Китая приговорили к 40 месяцам тюрьмы за криптомошенничество и отмывание денег

Минюст США сообщил, что 31-летний гражданин Китая Ляо Фэй получил 40 месяцев федеральной тюрьмы за участие в мошенничестве с инвестициями в криптовалюту и отмывании денег. Суд постановил конфисковать более $2,3 миллиона из изъятых средств и выплатить жертвам более $2,8 миллиона. По версии следствия, Ляо Фэй и сообщники использовали подставные компании и банковские счета, чтобы отмывать доходы от схемы pump-and-dump, привлекая жертв через соцсети и блокируя вывод средств.

Newity привлекла $11 миллионов в стратегическом раунде под руководством CMT Digital

Финтех-компания Newity закрыла стратегический раунд финансирования на $11 миллионов, его возглавила CMT Digital. Компания планирует перевести кредитование малого бизнеса на блокчейн и сообщает, что уже предоставила финансовые услуги на сумму более $12 миллиардов для 125 000 малых предприятий, при среднем размере кредита около $118 800.

NVIDIA близка к инвестиции $30 миллиардов в OpenAI вместо прежних планов на $100 миллиардов

NVIDIA может завершить инвестицию в OpenAI на $30 миллиардов, которая заменит долгосрочное обязательство на $100 миллиардов, согласованное компаниями в прошлом году, пишет Financial Times. По данным источников, сделка на финальной стадии и может быть закрыта уже в эти выходные. Ожидается, что новый раунд финансирования OpenAI превысит $100 миллиардов и поднимет оценку компании до $730 миллиардов, при этом значительную часть средств OpenAI планирует направить на закупку оборудования NVIDIA.

Акции Bitdeer упали на 19,5% на старте торгов после анонса конвертируемых облигаций на $300 млн

Акции Bitdeer (BTDR) снизились на 19,5% при открытии торгов на фоне опасений инвесторов о размывании доли после объявления о выпуске конвертируемых облигаций на $300 млн. Рыночная капитализация компании оценивается в $1,922 млрд, стоимость акций — в $836 млн. Часть средств направят на расходы по сделке и выкуп части облигаций с купоном 5,25% со сроком погашения в 2029 году, остальное — на развитие дата-центров, облачных и ИИ-направлений, а также производство ASIC-майнеров.

Кашкари: политика ФРС близка к нейтральной, рынок труда США остается устойчивым

Президент ФРБ Миннеаполиса Нил Кашкари заявил, что рынок труда США остается достаточно устойчивым, хотя темпы немного замедлились. По его словам, текущая денежно-кредитная политика ФРС близка к нейтральной. Кашкари также отметил, что почти все компании видят пользу от искусственного интеллекта, который может повысить производительность в ближайшие 5–10 лет, а ФРС использует ИИ осторожно и с мерами защиты данных.