Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

633

2 мин

15.04.2025

DeFi
безопасность
Смарт-контракты
Расследование
взлом
Slowmist
Manta Network

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Спотовые ETF на Ethereum в США привлекли $48,6 млн за день

По данным Farside, вчера чистый приток в спотовые ETF на Ethereum в США составил $48,6 млн. В ETF ETHA от BNY Mellon поступило $22,9 млн, а в Grayscale ETH — $11,3 млн.

Mizuho Securities начала следить за BitGo и ждёт роста акций почти на 70%

Mizuho Securities начала освещение BitGo с рейтингом Outperform и целевой ценой $17, что предполагает рост почти на 70% от текущих около $10,15. Аналитики отмечают, что более 80% выручки BitGo дают повторяющиеся услуги вроде хранения и стейкинга, а не торговые операции, и ожидают ускорения роста на фоне спроса со стороны институциональных клиентов. При этом с листинга на NYSE в январе по $18 акции BitGo снизились примерно на 44%.

Kraken подключила OTC Desk к ICE Chat и вышла на институциональную аудиторию ICE

Американская биржа Kraken сообщила, что ее внебиржевое подразделение Kraken OTC Desk интегрировалось с ICE Chat от Intercontinental Exchange, что дает более 120 000 банков, брокеров и торговых компаний возможность напрямую связываться с командой Kraken и получать доступ к криптовалютной ликвидности в привычных рабочих процессах. Компания утверждает, что стала первой криптоплатформой с доступом к ICE Chat, а котировки спотовых и крупных OTC-сделок Kraken теперь будут отображаться в одной коммуникационной сети рядом с акциями и деривативами.

Акции криптокомпаний в США закрылись разнонаправленно, Circle прибавила 2,63%, Gemini рухнула на 12,9%

Во вторник американские индексы завершили торги в плюсе: Dow вырос на 0,07%, S&P 500 — на 0,1%, Nasdaq — на 0,14%. Акции криптокомпаний закрылись без единой динамики: Coinbase (COIN) прибавила 1,03%, Circle (CRCL) — 2,63%, а MicroStrategy (MSTR) снизилась на 3,89% и Gemini (GEMI) — на 12,9%.

Японские брокерские гиганты готовятся запустить торговлю криптовалютами к 2026 году

Три крупные японские компании в сфере ценных бумаг с общей рыночной капитализацией около $480 миллиардов рассматривают выход на рынок торговли криптовалютами, а крупнейшая из них планирует запустить такие услуги к концу 2026 года. По данным Nikkei, Nomura Holdings, управляющая активами клиентов примерно на $673 миллиардов, будет развивать направление через швейцарскую криптодочку Laser Digital, а Daiwa Securities Group и SMBC Nikko Securities также изучают запуск криптотрейдинга. Компании рассчитывают на рост спроса на криптоинвестиции на фоне смягчения правил в Токио для крипто-ETF и готовятся расширять линейку цифровых активов к 2026 году.