Уязвимость в KiloEx на $7 млн: подробности инцидента от SlowMist

1072

2 мин

15.04.2025

Аналитики из SlowMist установили, что причиной взлома проекта KiloEx стала критическая ошибка в контракте MinimalForwarder. Отсутствие базовой проверки доступа позволило злоумышленнику манипулировать ценами через цепочку вызовов смарт-контрактов. В частности, execute-функция дала возможность подменить адрес и подпись, пройти проверку и «вызвать нужные методы без ограничений». Это открыло путь к изменению ценового оракула и последующему извлечению прибыли. В результате хакеры похитили около $7 млн.

Исследователи из SlowMist подробно описали цепочку вызовов, приведших к атаке. Сначала злоумышленник получил возможность активировать функцию setPrices в контракте KiloPriceFeed, которая используется для обновления данных о ценах. Это стало достижимым благодаря некорректной архитектуре вызовов между контрактами Keeper, PositionKeeper и MinimalForwarder. Уязвимость в последнем позволила передавать любые параметры и обойти проверку данных. В результате злоумышленник сначала занизил цену и открыл длинную позицию, а затем резко поднял курс и завершил сделку с прибылью.

Представители KiloEx подтвердили факт эксплойта и сообщили, что работают над расследованием совместно с BNB Chain, Manta Network и ведущими компаниями по безопасности, включая Seal-911, SlowMist и Sherlock. Команда отметила: инцидент затронул несколько экосистем. Сейчас ведется активная работа по отслеживанию и возврату украденных криптовалют. Также стало известно, что средства злоумышленника начали перемещаться через протоколы zkBridge и Meson.

Случай с KiloEx снова подчеркнул важность базовых проверок доступа в смарт-контрактах. Ошибка в одном компоненте системы привела к полной компрометации логики торговли и серьезным убыткам. Эксперты призывают команды DeFi-проектов уделять больше внимания безопасности на уровне архитектуры, особенно при использовании контрактов для делегированных вызовов.

Автор

Петр Иванов

Понравилась новость? Поделись мнением!

Комментарии

Оставить комментарий

Комментариев пока нет

Интересное по инвестиции

Fireworks AI обсуждает новый раунд финансирования с оценкой до $40 млрд

Fireworks AI, разрабатывающая инфраструктуру для искусственного интеллекта, ведет ранние переговоры о новом раунде финансирования с оценкой компании в $30–40 млрд. Еще несколько месяцев назад ее оценивали в $17,5 млрд, а в июле компания сообщила, что годовая выручка превысила $1 млрд и сейчас она обрабатывает более 40 трлн токенов в день, из которых 95% приходятся на модели, настроенные под задачи клиентов.

Глава Citadel Securities предупредил о почти неизбежном пузыре на рынке ИИ

Глава Citadel Securities Кен Гриффин заявил, что инвесторы почти наверняка уже находятся в пузыре вокруг искусственного интеллекта, и сравнил нынешнюю ситуацию с периодом перед крахом доткомов. По его словам, технологии, которые радикально меняют экономику, часто сопровождаются перегревом рынка, а многие бизнес-модели в такие периоды оказываются нереалистичными. Ранее в этом году Гриффин критиковал ИИ в Давосе, а в мае на выступлении в Stanford Graduate School of Business говорил, что возможности этой технологии его разочаровывают.

Уолл-стрит и криптокомпании призвали SEC скорректировать проект правил для криптоактивов

В США завершилось общественное обсуждение проекта правил SEC для криптоактивов, по которому регулятор уже получил более 100 комментариев. Участники рынка, включая компании с цифровыми активами и институты Уолл-стрит, просят уточнить порядок регулирования, в том числе сохранить послабления для размещений до $5 млн и до $75 млн в течение 1 года. Hyperliquid Policy Center также призвал SEC доработать правила по аирдропам и прямо указать, что бесплатное получение токенов без оплаты не считается вложением капитала. Организация добавила, что предложенный механизм safe harbor слишком узкий и нуждается в расширении.

Nectar Group привлекла $5 миллионов при оценке в $30 миллионов

Nectar Group, разработчик платформы HoneyB для заработка на BTC, привлекла $5 миллионов в посевном раунде под руководством Portal Ventures при участии Peer Venture Partners, Anchorage Digital Ventures, семейного офиса и частных инвесторов. По словам соучредителя и CEO компании Джоша Гордона, раунд стартовал в конце 4-го квартала 2025 года и завершился в начале 3-го квартала 2026 года, а оценка компании после инвестиций составила $30 миллионов. Инвесторы не получили мест в совете директоров, статуса наблюдателей или консультативных ролей.

Выручка SpaceX в третьем квартале более чем удвоилась и превысила прогнозы

Выручка SpaceX в третьем квартале выросла более чем вдвое и достигла $14,58 млрд против ожидавшихся $12,72 млрд, а чистая прибыль составила $4,4 млрд при прогнозе в $1,57 млрд. Рост обеспечили направления искусственного интеллекта и Starlink: выручка от ИИ подскочила более чем в 9 раз до $7,6 млрд, число пользователей Starlink достигло 13,6 млн, однако средний месячный доход на пользователя снизился с $99 в 2023 году до $69. Капитальные затраты компании выросли почти втрое до $19,6 млрд, из них $16,4 млрд пришлись на ИИ, а акции на послеторговой сессии в моменте прибавляли около 3%.