Өткен сәрсенбіде, 4 қыркүйекте, DeFi-протоколы Notional Finance қауіпсіздік саласындағы елеулі оқиғаға тап болды. Шабуыл платформаның бірінші нұсқасының (V1) ескірген контрактіндегі критикалық қатені пайдалану арқылы мүмкін болды, бұл контракт жоба инфрақұрылымында әлі де белсенді болып қалған еді.
Мәселенің түбірі типтерді түрлендіру кезіндегі деректерді дұрыс өңдемеуде жатыр. Шабуылдаушы жасанды түрде қарыз позициясын генерациялады, ол қамтамасыз ету коэффициентін тексеру кезінде түрлендіру логикасындағы баг салдарынан нөлдік болып көрсетілді. Бұл кепілді бақылау механизмдерін айналып өтуге және өтімділікті тікелей пулдан шығаруға мүмкіндік берді.
Шығын ауқымы және шабуыл бағыты
Менің деректерім бойынша, жалпы залал шамамен 69 000 DAI және 1,66 млн USDC құрады, бұл эквивалентте $1,7 млн-нан асады. Шабуыл техникалық тұрғыдан күрделі болды: хакер тез әрі есеппен әрекет етіп, команда немесе мониторинг қызметтері тарапынан араласуға мүмкін болатын уақыт терезесін барынша қысқартты.
Шығарылған стейблкоиндер дереу шамамен 689 ETH-ке айырбасталды. Әрі қарай қаражаттар Tornado Cash-ке ауыстырылды — бұл микшер қоғамдық блокчейнде транзакцияларды қадағалауды айтарлықтай қиындатады. Бұл капиталды одан әрі жылжыту алдында іздерін жасыруға ұмтылатын кәсіби киберқылмыскерлердің стандартты тәжірибесі.
Бұл оқиға көптеген DeFi-протоколдардың жүйелік мәселесін көрсетеді: жаңа нұсқаларға көшкеннен кейін де, ескі контрактілер көбінесе «баяу әрекет ететін бомбалар» болып қалады. Командалар тек ағымдағы смарт-контрактілерді ғана емес, барлық тарихи смарт-контрактілерді толық аудиттен және верификациядан өткізуі қажет.
Менің талдауым: Бұл жағдай — DeFi-дегі өтімділіктің әрқашан legacy-код тәуекелімен байланысты екендігінің тағы бір ескертуі. Notional Finance тек шығындарды өтеуге ғана емес, сонымен қатар өз контрактілерінің өмірлік циклін басқару тәсілін қайта қарауға мәжбүр болады. Инвесторларға келетін болсақ, тіпті беделі тұрақты жобалар да өз бағдарламалық қамтамасыз етуінің ұмытылған нұсқалары арқылы осал болуы мүмкін екенін ескеру қажет.