LULA токеніндегі сыни осалдық: хакер пул резервтерін манипуляциялау арқылы $578 000 шығарып алды
BNB Smart Chain блокчейнінде тағы бір оқиға болды, ол токендердің смарт-келісімшарттарындағы қателердің қаншалықты қауіпті болуы мүмкін екенін көрсетеді. Зиянкес LULA токенінің кодындағы осалдықты пайдаланып, PancakeSwap орталықтандырылмаған биржасындағы өтімділік пулынан шамамен $578 000 шығарып алды. Айта кетерлігі, биржаның өзі бұзылмаған — шабуыл тек токеннің логикасына бағытталған.
Резервтерді манипуляциялау қалай жұмыс істейді
Шабуылдың негізінде recycle() функциясы жатыр. Бұл әдіс Rental келісімшартына екі маңызды құқық берді: біріншіден, PancakeSwap V2 пулынан LULA токендерін тікелей алу, екіншіден, sync() функциясын шақыру, ол жұптың есептік резервтерін нақты (бұрмаланған) баланстармен мәжбүрлеп синхрондайды.
Механизмді түсіну үшін пулды екі тостағаны бар таразы ретінде елестетіңіз: біреуінде — USDT, екіншісінде — LULA. Баға көлемдердің арақатынасымен анықталады. Қарапайым трейдер тек айырбас арқылы монеталарды тостағандар арасында ауыстыра алады. Осалдық бір тостағаннан токендерді бүйірден алып, содан кейін таразыны жаңа жағдайды адал деп мойындауға «мәжбүрлеуге» мүмкіндік берді.
Аналитиктер қайта құрған әрекеттер тізбегі келесідей:
- USDT-ны LULA-ға ірі айырбастау, ол жұптағы USDT резервін көтерді.
- LULA резервін азайтатын
recycle()функциясын бірнеше рет шақыру. - LULA-ның аз көлемін кері айырбастау, ол пулдың өтімділігін толығымен «құрғатты».
Маневрдің мәні: бір тостағанда неғұрлым аз токен қалса, соғұрлым олардың әрқайсысы қымбат болады. Жұптағы LULA көлемін жасанды түрде қысып, зиянкес аз мөлшердегі токендерді жалған жоғары бағаммен айырбастап, нәтижесінде айтарлықтай көп USDT алды.
12 күн бойы дайындық
Бұл шабуыл кенеттен болған жоқ. Эксплойттан 12 күн бұрын хакер рефералдық және командалық сыйақыларды жинақтау үшін көмекші келісімшарттарды орналастырды. Дайындалған төлем құқығы кіру нүктесіне айналды: claimReward() → recycle() байланысы дефляциялық әсерді, яғни айналымдағы токендер санының қысылуын барынша арттыруға мүмкіндік берді.
Негізгі кезең үшін шамамен $237 млн сомасына флеш-несие пайдаланылды. Флеш-несие бірнеше секундқа «адал сөзбен» алынған ақша сияқты жұмыс істейді: қарыз алушы сол транзакция ішінде соманы қайтаруға міндетті, әйтпесе ол толығымен жойылады. Бұл үшін меншікті капитал қажет емес, сондықтан мұндай құрал бағамен манипуляцияларды күшейту үшін жиі қолданылады. Қарыз қаражаты DEX-тегі пулдан LULA шығаруға жұмсалды, бұл recycle() шақыруларының әсерін күшейтті.
Сарапшы пікірі: Бұл оқиға — токендердің смарт-келісімшарттарын аудиттеу толық болуы керек екендігінің тағы бір қатаң ескертуі. Бір қарағанда зиянсыз қызметтік опция болып көрінетін функциядағы осалдық миллиондаған шығынға әкелуі мүмкін. DEX-те жаңа токендермен жұмыс істейтін инвесторлар тек өтімділік пен маркетингке ғана емес, сонымен қатар токеннің кодына да назар аударуы керек.