Занял 1,94 млн долларов, чтобы купить два места, — и казна проекта опустела на глазах
📈 进群一起分析行情
В субботу X 100 Global подвергся атаке на управление в Ethereum. Злоумышленник занял два из трёх мест в совете и вывел из казны около 4,85 млн долларов в USDT и 550 тысяч токенов X. Цена токена обвалилась с более чем 50 долларов до 1,75 доллара — падение превысило 96% 💥
Это не взлом кода — это покупка правил. Сначала злоумышленник занял во Flash Loan на Aave около 1,94 млн долларов в USDT, купил на эти деньги токены X, затем зарегистрировал вспомогательные контракты и занял два места. Поскольку в этой системе управления нет снимка голосов, минимального срока владения токенами и задержки исполнения, получив право голоса, можно сразу внести вредоносное предложение и тут же исполнить его 🦖
В рамках одной из транзакций из казны проекта Freezer вывели 400 тысяч токенов X и отправили их в пул ликвидности, контролируемый злоумышленником, оставив в казне лишь около 36 долларов. Затем эти токены продали через обычный пул Uniswap V3. В результате трёх операций злоумышленник получил около 4,85 млн долларов в USDT и 550 тысяч токенов X. По данным блокчейна, в Freezer осталось около 12,2 млн токенов X. Команда проекта до сих пор официально не прокомментировала ситуацию, инцидент продолжается.
На мой взгляд, в этом случае важнее всего запомнить не сумму, а способ атаки. Раньше все следили за уязвимостями в смарт-контрактах, а теперь кто-то просто покупает контроль над управлением. Три места звучат как распределённая система, но на деле это всё равно что отдать ключи тому, кто больше заплатит. Если нет снимка голосов, блокировки токенов и задержки исполнения, с помощью Flash Loan можно захватить контроль за несколько минут. Это уязвимость на уровне дизайна, а не вопрос удачи ⚖️
Вторичный эффект для рынка ещё очевиднее: после падения токена на 96% ликвидность на DEX осталась на уровне нескольких долларов. Даже если держатели захотят продать токены, покупателей просто не найдётся. В дальнейшем маркетмейкеры и институциональные инвесторы будут сразу понижать рейтинг таких проектов, ведь сама структура управления становится источником риска 📉
Обсудим в комментариях: это хакерская атака или арбитраж, разрешённый правилами? 👀
Каждый день рассказываю о главных новостях в сфере криптобезопасности. Не просто слежу за событиями, но и помогаю понять стоящую за ними логику и возможности 🚀
Нажмите на аватар, чтобы посмотреть прямой эфир
📈 进群一起分析行情
В субботу X 100 Global подвергся атаке на управление в Ethereum. Злоумышленник занял два из трёх мест в совете и вывел из казны около 4,85 млн долларов в USDT и 550 тысяч токенов X. Цена токена обвалилась с более чем 50 долларов до 1,75 доллара — падение превысило 96% 💥
Это не взлом кода — это покупка правил. Сначала злоумышленник занял во Flash Loan на Aave около 1,94 млн долларов в USDT, купил на эти деньги токены X, затем зарегистрировал вспомогательные контракты и занял два места. Поскольку в этой системе управления нет снимка голосов, минимального срока владения токенами и задержки исполнения, получив право голоса, можно сразу внести вредоносное предложение и тут же исполнить его 🦖
В рамках одной из транзакций из казны проекта Freezer вывели 400 тысяч токенов X и отправили их в пул ликвидности, контролируемый злоумышленником, оставив в казне лишь около 36 долларов. Затем эти токены продали через обычный пул Uniswap V3. В результате трёх операций злоумышленник получил около 4,85 млн долларов в USDT и 550 тысяч токенов X. По данным блокчейна, в Freezer осталось около 12,2 млн токенов X. Команда проекта до сих пор официально не прокомментировала ситуацию, инцидент продолжается.
На мой взгляд, в этом случае важнее всего запомнить не сумму, а способ атаки. Раньше все следили за уязвимостями в смарт-контрактах, а теперь кто-то просто покупает контроль над управлением. Три места звучат как распределённая система, но на деле это всё равно что отдать ключи тому, кто больше заплатит. Если нет снимка голосов, блокировки токенов и задержки исполнения, с помощью Flash Loan можно захватить контроль за несколько минут. Это уязвимость на уровне дизайна, а не вопрос удачи ⚖️
Вторичный эффект для рынка ещё очевиднее: после падения токена на 96% ликвидность на DEX осталась на уровне нескольких долларов. Даже если держатели захотят продать токены, покупателей просто не найдётся. В дальнейшем маркетмейкеры и институциональные инвесторы будут сразу понижать рейтинг таких проектов, ведь сама структура управления становится источником риска 📉
Обсудим в комментариях: это хакерская атака или арбитраж, разрешённый правилами? 👀
Каждый день рассказываю о главных новостях в сфере криптобезопасности. Не просто слежу за событиями, но и помогаю понять стоящую за ними логику и возможности 🚀
Нажмите на аватар, чтобы посмотреть прямой эфир