Курс Swell «законно разогнали»: горячий ключ, возможно, утёк, курсы swETH/rswETH повысили без обеспечения
22 октября Spreek сообщил, что горячий ключ, используемый Swell DAO, возможно, был скомпрометирован: кто-то повышал курсы swETH/rswETH с максимальным шагом 1% в час, не обеспечивая изменения дополнительными ETH. Основатель Phylax Одиссей насчитал пять повышений (три для swETH и два для rswETH) и назвал это «злоупотреблением ключом BOT»: оракул разрешает отправлять снимки с новыми курсами только роли BOT, однако бот работал на горячем ключе.
Записи в блокчейне показывают, что один и тот же адрес непрерывно отправлял снимки с 21 октября, 23:02 (UTC). По состоянию на 22 октября курс swETH составлял 1,133254 ETH — примерно на 3,0% выше базового, а курс rswETH достиг 1,082464 ETH, поднявшись на 2,0%.
Несколько часов назад Railway признала: в системе хранения переменных окружения произошёл сбой, и посторонние могли получить доступ к расшифрованным ключам. Компания сразу приостановила все развёртывания и призвала сменить ключи. В тот же день ончейн-детектив Tay сообщил, что злоумышленники с помощью ключей, связанных с Railway, вывели около 371 000 долларов из кошельков как минимум в 19 EVM-сетях. Однако связь между этими событиями пока не подтверждена.
Spreek также обнаружил 4 вредоносных контракта обновления: их выполнение могло позволить вывести около 2500 ETH. По оценке Odysseus, на контрактах находилось 2513 ETH; при этом он подчеркнул, что «потери не подтверждены». К счастью, ни один из контрактов не был запущен. 22 октября Swell заявила, что из контрактов для ввода и вывода средств «не утекло ETH», а 23 октября приостановила операции с двумя токенами до восстановления чистой стоимости активов.
Особенно важно учитывать риск распространения: TVL каждого из двух продуктов составляет около 29 млн долларов. Если кредитные рынки будут оценивать залог по завышенному курсу, риск может распространиться дальше — подобный прецедент уже был с rsETH от KelpDAO.
Горячий кошелёк управляет оракулом, оракул передаёт данные кредитному рынку — и одна утечка ключа может превратиться в системный риск для DeFi. Кто станет следующим активом, который «легитимно поднимут»?
$ETH $SWELL $EIGEN
(Источник: Cryptopolitan)
⚠️Предупреждение о рисках: приведённая выше информация носит справочный характер и не является инвестиционной рекомендацией. Инвестиции сопряжены с риском; принимайте решения осмотрительно.