Thetanuts-тың $2,1 млн-ға бұзылуы: қараусыз қалдыруға болмайтын ұмытылған келісімшарт
DeFi-секторды тағы да бұзу туралы жаңалық дүр сілкіндірді, бірақ бұл жолы оқиға техникалық емес, басқарушылық сипатқа ие. Thetanuts Finance протоколы команда бұрыннан тастап кеткен ескірген қойманы пайдалану салдарынан шамамен $2,1 млн жоғалтты. Айта кетерлігі, барлық соманың шамамен $2 млн ақ хакерлер қайтарды, бұл «өлі код» бар жобалардағы қауіпсіздік процедуралары туралы сұрақтар туғызады.
Шабуыл протокол бірнеше жыл бұрын пайдалануды тоқтатқан смарт-келісімшартқа бағытталған. Thetanuts компаниясы бұл келісімшарттың ағымдағы өнімдер мен белсенді инфрақұрылымға қатысы жоқ екенін атап өтті. Алайда, тәжірибе көрсеткендей, «ұмытылған» келісімшарттар блокчейнде өмір сүруін жалғастырады, ал олардың осалдықтары – зұлымдық жасаушылар үшін алтын кеніші.
Бұл қалай болды
SlowMist компаниясының қауіпсіздік мамандары алғашқы болып дабыл қақты. Олар мәселенің түбірі – смарт-келісімшарттың ішкі минтинг функциясындағы бүтін санды бөлу қатесі екенін анықтады. Қаражатты алып тастағаннан кейін депозиттерді есептеу формуласы дөңгелектеу ерекшеліктеріне байланысты нөлді бере бастады. Бұл хакерге токендерді шектеусіз мөлшерде, ауадан жасауға мүмкіндік берді.
PeckShield деректері бойынша, зұлымдық жасаушы $105 000 USDC-ны шамамен 60 ETH-ге айырбастады. Шабуылдаушының әмиянында әлі де шамамен $34 000 сомасында опциондық токендер қалды. Thetanuts командасы тергеу аяқталғаннан кейін егжей-тегжейлі есеп жариялауға уәде берді.
Бұл оқиға – жалғыз емес. Бұған дейін біз Aztec Connect ($2,1 млн) және Raydium-ның ескірген өтімділік пулдарына ($1,3 млн) ұқсас шабуылдарды байқадық. Жалпы тенденция айқын: зұлымдық жасаушылар қолдаусыз жұмыс істейтін «ұйықтап жатқан» келісімшарттарды мақсатты түрде аулайды.
Менің кәсіби пікірім: Thetanuts оқиғасы – DeFi-де келісімшартты «ұмытуға» болмайтынын тағы бір еске салу. Блокчейнде бір рет орналастырылған кез келген код мәңгілікке сол жерде қалады. Командалар ескірген келісімшарттарды бақылаудың автоматтандырылған жүйелерін және мәжбүрлі деактивация процедураларын енгізуі керек. Әйтпесе, мұндай «тосын сыйлар» әдетке айналады.