🧨 Приватный ключ не утёк, по фишинговой ссылке никто не переходил — а 820 тысяч долларов всё равно вывели
У токена NEM в BNB Chain (контракт NemTokenV2 — не путайте с известным NEM/XEM) примерно 22 октября обнаружили, что из пула USDT/NEM на PancakeSwap вывели около 820 тысяч долларов. CertiK также пометила этот инцидент как атаку на сумму около 820 тысяч долларов.
Проблема была в коде самого токена. По анализу SlowMist, кто-то в X описал примерный ход событий:
🔹 Контракт считал любую операцию «перевода в пул» продажей и записывал сумму к сжиганию, не проверяя, состоялся ли обмен на самом деле
🔹 Злоумышленник переводил токены в пул, а затем возвращал их в исходном виде с помощью skim(), но сумма к сжиганию оставалась
🔹 Затем он вызывал flushLpSellRecycle() и сжигал NEM, которые уже находились в пуле
🔹 Это повторили 42 раза: NEM в пуле становилось всё меньше, цена росла, а в конце оставшиеся у злоумышленника NEM обменяли на USDT
История транзакций открыта на BscScan.
Моё мнение: многие мелкие токены любят добавлять всякие функции вроде «автоматического сжигания», «возврата в пул» и «налога на продажу». В рекламе это называют дефляционным преимуществом, но каждая новая функция — это ещё один фрагмент кода, в котором может быть ошибка. В этот раз даже хакер не понадобился: код сам опустошил пул.
Увидев новый токен с особыми механизмами, проверьте хотя бы три вещи: верифицирован ли исходный код контракта, есть ли в логике переводов собственные правила и проверял ли аудит взаимодействие с пулом.
Когда покупаете токены, изучаете контракт или смотрите только на график и популярность в сообществе? 👇
#BNBChain #DeFi安全 #PancakeSwap #РискиОнчейн
У токена NEM в BNB Chain (контракт NemTokenV2 — не путайте с известным NEM/XEM) примерно 22 октября обнаружили, что из пула USDT/NEM на PancakeSwap вывели около 820 тысяч долларов. CertiK также пометила этот инцидент как атаку на сумму около 820 тысяч долларов.
Проблема была в коде самого токена. По анализу SlowMist, кто-то в X описал примерный ход событий:
🔹 Контракт считал любую операцию «перевода в пул» продажей и записывал сумму к сжиганию, не проверяя, состоялся ли обмен на самом деле
🔹 Злоумышленник переводил токены в пул, а затем возвращал их в исходном виде с помощью skim(), но сумма к сжиганию оставалась
🔹 Затем он вызывал flushLpSellRecycle() и сжигал NEM, которые уже находились в пуле
🔹 Это повторили 42 раза: NEM в пуле становилось всё меньше, цена росла, а в конце оставшиеся у злоумышленника NEM обменяли на USDT
История транзакций открыта на BscScan.
Моё мнение: многие мелкие токены любят добавлять всякие функции вроде «автоматического сжигания», «возврата в пул» и «налога на продажу». В рекламе это называют дефляционным преимуществом, но каждая новая функция — это ещё один фрагмент кода, в котором может быть ошибка. В этот раз даже хакер не понадобился: код сам опустошил пул.
Увидев новый токен с особыми механизмами, проверьте хотя бы три вещи: верифицирован ли исходный код контракта, есть ли в логике переводов собственные правила и проверял ли аудит взаимодействие с пулом.
Когда покупаете токены, изучаете контракт или смотрите только на график и популярность в сообществе? 👇
#BNBChain #DeFi安全 #PancakeSwap #РискиОнчейн