Тенанутс-қа шабуыл: $2,1 млн тасталған қоймадан ағып кетті — хакер барлығын дерлік қайтарды
DeFi секторын ескі смарт-келісімшарттардағы осалдыққа байланысты оқиға тағы да дүр сілкіндірді. Бұл жолы құрбан болған Thetanuts Finance протоколы, оның белсенді емес қоймасынан шабуылдаушы шамамен $2,1 млн шығарып әкетті. Алайда, көптеген басқа бұзушылықтардан айырмашылығы, бұл оқиғаның соңы күтпеген болды: ақ хакер барлық дерлік соманы қайтарды.
Эксплойттың мәні: бүтін сандарды бөлудегі ескі қате
Алғашқы болып дабыл қаққандар SlowMist компаниясының қауіпсіздік мамандары болды. Олар оқиғаның себебі — ескі смарт-келісімшарттардың біріндегі minting функциясындағы классикалық қате екенін анықтады. Бүтін сандарды дұрыс бөлмеу салдарынан депозиттерді есептеу формуласы нөлді көрсете бастады. Бұл шабуылдаушыға шексіз және тегін токендер жасауға мүмкіндік беріп, өтімділік пулын іс жүзінде босатты.
PeckShield аналитиктерінің мәліметінше, хакер $105 000 USDC-ны шамамен 60 ETH-ге айырбастаған. Талдау жазылған кезде оның әмиянында әлі де шамамен $34 000 сомасындағы опциондық токендер қалған, оларды дереу айырбастау мүмкін емес.
Thetanuts командасының реакциясы
Протокол командасы оқиғаға дереу жауап беріп, бұзылған келісімшарттың олардың ағымдағы өнімдеріне қатысы жоқ екенін атап өтті. Олар бұл қойма бірнеше жыл бұрын пайдаланудан шығарылғанын және оның осалдығы жұмыс істеп тұрған инфрақұрылымға қауіп төндірмейтінін мәлімдеді. Айта кетерлігі, жария түрде үндеу жасалғаннан кейін хакер ұрланған қаражатты ерікті түрде қайтарды, бұл оның «ақ» мотивациясын — жеке баю емес, осалдықты көрсетуді көздегенін білдіреді.
Сарапшы пікірі
Бұл оқиға — DeFi-дің «цифрлық қирандыларына» жасалған шабуылдар тізбегіндегі тағы бір буын. Протоколдар көбінесе ескі келісімшарттарды ұмытып қалады, олар қаражатты сақтауды жалғастырады, бірақ қызмет көрсетілмейді. Thetanuts-қа жолы болды: хакер этикалық болып шықты. Бірақ шын мәнінде, мұндай «ұмытылған» vaults баяу әрекет ететін бомба болып қала береді. Әрбір жобаға бұрын-соңды орналастырылған барлық келісімшарттарға, әсіресе белсенді емес деп белгіленгендерге толық аудит жүргізу керек. Бұл ережені елемеу ерте ме, кеш пе қайтымсыз шығындарға әкеледі.