Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

603

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Bitwise ожидает «ложный медвежий рынок» в 2026 году, BTC в Q1 может торговаться между $75,000 и $100,000

Мэтт Хоуган, CIO компании Bitwise, сказал в интервью, что в ближайшие 20 лет ожидает рост биткоина до 6,5 миллиона долларов и прогнозирует появление в 2026 году «ложного медвежьего рынка». Он отметил, что назначение Кевина Уолша в ФРС воспринимается как постепенный положительный фактор, а в первом квартале BTC может колебаться в диапазоне $75,000–$100,000; по его мнению, центральные банки со временем будут держать больше биткоинов, чем золота.

Nomura ужесточила риск-менеджмент в криптобизнесе после убытков в Европе

Bloomberg сообщает, что европейское подразделение Nomura понесло убытки из‑за падения рынка цифровых активов, после чего компания усилила управление позициями и рисками. Финансовый директор Хироюки Мориучи на квартальной конференции заявил, что Nomura сократила вложения в криптовалюту, но сохраняет приверженность долгосрочному развитию криптобизнеса. Менеджмент предпринял меры для сглаживания краткосрочных колебаний прибыли.

Tether прогнозирует чистую прибыль более $10 миллиардов в 2025 году

Tether ожидает чистую прибыль свыше $10 миллиардов за 2025 год и сообщает о резервных активах: казначейские облигации США на сумму $141 миллиард, золото на $17,4 миллиарда и Биткоины (BTC) на $8,4 миллиарда. Отчет за четвертый квартал, подписанный BDO Italy, фиксирует избыточные резервы $6,3 миллиарда при $186,5 миллиарда в обращении USDT, чей объем за год вырос на $50 миллиардов и превысил $186 миллиардов. Отдельный инвестиционный портфель компании оценивают в $20 миллиардов; при этом Tether продолжает масштабные покупки физического золота.

Пожертвование Gemini в биткоинах потеряло почти $5 миллионов из‑за падения курса

Политическая группа, связанная с братьями Кэмероном Уинклвоссом и Тайлером Уинклвоссом, за последние пять месяцев 2025 года собрала более $22 миллионов, но часть пожертвований в Биткоинах существенно обесценилась. В августе комитет перевёл 188,4547 Биткоинов в супер-PAC Digital Freedom Fund при цене около $114 000 за монету, но к 31 декабря курс упал примерно на 23% до ниже $88 000, что привело к потере рыночной стоимости пожертвования почти на $5 миллионов.

Золото вернулось выше $4900 за унцию, рост более $200 от минимума

По данным Bitget, спотовое золото восстановилось и превысило отметку $4900 за унцию, поднявшись более чем на $200 от дневного минимума. Рынок показал значительный отскок после утренних распродаж, поддерживая риск-убежищные активы.