🔓 Как можно вывести всю сумму из позиции стейкинга, запросив вывод «0»?
31 октября в 09:29 (UTC) один кошелёк за одну транзакцию вывел средства из 91 ордера стейкинга платформы для стейкинга биткоина b14g в сети Core.
📌 Ключевые цифры
• Злоумышленник отправил 99 запросов на вывод с суммой «0»
• Всего было переведено 97 045 563 CORE. По оценке Bitquery, на тот момент они стоили около 1,47 млн долларов
• Причина: контракт стейкинга Core трактовал «вывод 0» как «вывести всё», а b14g не блокировала такие запросы с нулевым значением
• Протокол приостановил работу контракта лишь примерно через 66 минут
• По словам b14g, около 68 млн CORE всё ещё находятся в сети Core, а биржи заморозили около 9 млн (данные о заморозке нельзя проверить только по блокчейну)
🛡️ Масштаб влияния
• Core DAO заявила, что консенсус сети Core, валидаторы и контракты стейкинга работают нормально; на прямой стейкинг инцидент не повлиял
• По словам b14g, BTC, размещённые в стейкинге, по-прежнему заблокированы в сети Биткоина и не пострадали
• Bitquery также отметила, что пока не видела исходный код b14g и поэтому не может указать конкретную строку, в которой произошла ошибка
📊 Выводы
Сумма не слишком велика, но уязвимость крайне базовая: одно граничное значение «0» может привести к выплате всей суммы. Компонуемость DeFi означает, что отсутствие проверки входных данных в одном протоколе может превратить «поведение по умолчанию» нижележащего контракта в точку входа для атаки. Прежде чем пользоваться протоколами стейкинга или рестейкинга, обращайте внимание не только на доходность, но и на аудит и механизмы приостановки.
💬 Вы бы вывели средства из протоколов рестейкинга после такого инцидента? Обсудим в комментариях.
👉 Торгуйте BTC: https://www.binance.com/zh-CN/trade/BTC_USDT
#B14g约9700万枚CORE遭未授权转移 #链上安全 #CORE #BTC #DeFi
⚠️ Это не является инвестиционной рекомендацией. Учитывайте риски.
31 октября в 09:29 (UTC) один кошелёк за одну транзакцию вывел средства из 91 ордера стейкинга платформы для стейкинга биткоина b14g в сети Core.
📌 Ключевые цифры
• Злоумышленник отправил 99 запросов на вывод с суммой «0»
• Всего было переведено 97 045 563 CORE. По оценке Bitquery, на тот момент они стоили около 1,47 млн долларов
• Причина: контракт стейкинга Core трактовал «вывод 0» как «вывести всё», а b14g не блокировала такие запросы с нулевым значением
• Протокол приостановил работу контракта лишь примерно через 66 минут
• По словам b14g, около 68 млн CORE всё ещё находятся в сети Core, а биржи заморозили около 9 млн (данные о заморозке нельзя проверить только по блокчейну)
🛡️ Масштаб влияния
• Core DAO заявила, что консенсус сети Core, валидаторы и контракты стейкинга работают нормально; на прямой стейкинг инцидент не повлиял
• По словам b14g, BTC, размещённые в стейкинге, по-прежнему заблокированы в сети Биткоина и не пострадали
• Bitquery также отметила, что пока не видела исходный код b14g и поэтому не может указать конкретную строку, в которой произошла ошибка
📊 Выводы
Сумма не слишком велика, но уязвимость крайне базовая: одно граничное значение «0» может привести к выплате всей суммы. Компонуемость DeFi означает, что отсутствие проверки входных данных в одном протоколе может превратить «поведение по умолчанию» нижележащего контракта в точку входа для атаки. Прежде чем пользоваться протоколами стейкинга или рестейкинга, обращайте внимание не только на доходность, но и на аудит и механизмы приостановки.
💬 Вы бы вывели средства из протоколов рестейкинга после такого инцидента? Обсудим в комментариях.
👉 Торгуйте BTC: https://www.binance.com/zh-CN/trade/BTC_USDT
#B14g约9700万枚CORE遭未授权转移 #链上安全 #CORE #BTC #DeFi
⚠️ Это не является инвестиционной рекомендацией. Учитывайте риски.
