exploit

🚨 ВІДКОАТ СЕТИ $CRO: ОЧИЩЕННЯ АТАКИ НА $111M! 🟢

Хак Tectonic від 30 серпня показав, як тонколіквідний токен TONIC можна використати як зброю — атакувальник розігнав ціну, забрав $120.4 M у заставі та розподілив позики по дев’яти ринках. 🦈

Cronos відповів жорстким rollback, зачистивши 10,961 блок і відновивши $111.2 M, але $9.19 M прослизнули поза ланцюгом (off-chain). Мережу відновили за 11 годин, залишивши користувачам чисту стартову точку. 📊

Що це говорить нам про системний ризик для активів із тонкими парами та про важливість швидких дій валідаторів? 💬

⚠️ Не є фінансовою порадою. Завжди керуйте своїм ризиком. 🛡️

🏷️ #CRO #Security #Exploit #Crypto

🚀 🦈

🦈 $CRO EXPLOIT РОЗВЕРНУТО, АЛЕ $9M ОФЧЕЙН-ВТРАТИ ЗАЛИШАЮТЬСЯ 🚨

📊 Зловмисник штучно розігнав малоліквідний токен TONIC, використовуючи завищену ціну як заставу, щоб вивести $120.4 M через дев’ять ринків. Валідатори Cronos зупинили ланцюг, відкати́ли 10,961 блоків і відновили $111.2 M, але $9.19 M зникли поза ланцюгом і досі не відшкодовані. ⚡

💡 Ця подія підкреслює, як тонкі пули ліквідності стають майданчиком для «зачисток» ліквідності від смарт‑грошей, розкриваючи системний ризик у крос‑чейн фреймворках застав. Мережа відновила виробництво блоків протягом 11 годин, але залишкові втрати можуть спонукати користувачів переглянути ризикові буфери. 👇

⚠️ Не є фінансовою порадою. Завжди керуйте своїм ризиком. 🛡️

🏷️ #CRO #Exploit #CryptoRisk #SmartMoney

🔥 🦈

🚨 Витік резервів кредитування на суму 9,3 млн доларів з платформи More Markets

Спеціалізована на безпеці блокчейну компанія Blockaid повідомила, що зловмисник використав монету Ankr для рідинного стейкінгу та патерн E-mode, щоб експлуатувати протокол кредитування More Markets. У результаті атаки було виведено приблизно 9,3 млн доларів у WFLOW з кредитного резерву платформи.

━━━━━━━━━━━━━━
📊 Вплив: 📈 Високий
🏷️ DEFI

#DeFiSecurity #Exploit #MoreMarkets #Blockchain

📰 Джерело: cointelegraph.com

9,100 USDT у, 1,979.8 $ETH out

Це все трейдинг Injective: якщо дослідники праві

Збудуйте свої власні ринки бінарних опціонів
Торгувати проти самого себе
Спирайтеся на баг у страховому фонді, який дозволяє витягувати більше, ніж ви коли-небудь вкладали, знову й знову

299 ринків, 7,100+ транзакцій, і ланцюг, який стояв без руху 3 години 42 хвилини, поки це відбувалося

Поки що не підтверджено командою, і саме це мене турбує. У офіційного акаунта було час для маркетингових постів, але не для пояснення🤡

Просто скажіть, що зламалося

Гроші ще не торкнулися міксера чи біржі. Я спостерігав за цим

$INJ власників, усе гаразд?

Не є фінансовою порадою.
#exploit

💸 З крипто-необанку вивели $1,1 млн з користувачів — і це навіть не була помилка блокчейну

Використали інфраструктуру карток Rain, а не мережу Rain, і цифри жахливі

▪ 1 685 клієнтів Avici на Solana втратили близько $500 тис.
▪ 636 клієнтів Tria втратили $430 тис.+
▪ AVICI впав на 49%, новий мінімум за весь час

всі продовжують аудитити L1, НІХТО не проводить стрес-тестів платіжні «рейки», які зверху прикручені

продовження на вихідних: Fogo Foundation атакували на 400 млн FOGO (~$3 млн), приблизно 4% від загальної пропозиції
команді довелося зупинити всю мережу, щоб заблокувати адреси, пов’язані з нападником

можеш скільки завгодно «зміцнювати» ланцюг, гроші все одно вийдуть з бокових дверей

все ще називаєте це середовище «відпрацьованим у боях»?🤡
$FOGO $SOL
#drained #exploit

🚨 Cronos зупинився після експлойту Tectonic на $75M — ось у чому ризик

Cronos ($CRO) призупинив виробництво блоків після того, як зловмисник скоригував ціну неліквідного токена управління Tectonic $TONIC приблизно в 100 разів за лише 20 хвилин, а потім позичив під завищене заставне забезпечення, щоб вивести, за оцінками, $66–75M із найбільшого в мережі кредитного протоколу. Валідатори зупинили весь ланцюг, щоб припинити витік, причому лише ~$6M дійшло до Ethereum до моменту блокування . Біржа й застосунок Crypto.com не постраждали — це удар по DeFi-інфраструктурі в Cronos, а не по кастодіальним коштам.

Це класичний експлойт оракула в стилі Mango Markets: тонка ліквідність + кредитування під заставу токену = токен, який можна “розкачати” (накачати) і використати як фіктивну заставну вартість. Це нагадування, що безпека ланцюга настільки сильна, наскільки сильним є найслабший пул ліквідності, що працює поверх нього.

Чому перейти на $SOL / $NEAR / $LINK замість цього:

•Більш глибока та перевірена в боях DeFi-ліквідність — складніше одному актору маніпулювати ціною оракула в 100 разів за хвилини
•Більші й більш децентралізовані набори валідаторів порівняно з обмеженим ~100-валідаторним налаштуванням Tendermint у Cronos
•Засвідчений послужний список без уразливості, пов’язаної із заставою токенів управління, як у цьому випадку

DYOR — це не фінансова порада, лише нагадування, що зупинки на рівні ланцюга на кшталт цієї — реальний tail risk, який варто враховувати в ціноутворенні. 🧵

#Cronos #DeFiSecurity #Exploit #solana #NEARProtocol

🚨 НОВИЙ РІВЕНЬ-1 $FOGO ЗУПИНЯЄТЬСЯ МАЙНЕТ ПІСЛЯ АТАКИ, КОЛИ ЗЛОМНИК ЗЛИВАЄ 10% ОБІГОВОГО ТЕЗУ 🔻

Щойно після свого високопродуктивного заходу, щоб кинути виклик $SOL , $FOGO зазнав нищівного удару: експлойтери викачали $3 млн, обнуливши приголомшливі 10% усієї обігової пропозиції. 🚨 Валідатори були змушені вдатися до ручного вимкнення мережі, що оголило серйозну ранню вразливість ще до того, як ліквідність навіть устигла осісти.

Коли 4% genesis-припасів опинилися під загрозою, і на тлі чуток про потенційний спірний відкат ланцюга, ринкова довіра тримається на тонкій нитці. 📊 Експлойти на нових мережах перетворюються на жорстке хрещення вогнем для капіталу, що женеться за неперевіреними рівнями виконання.

Коли активність у ланцюзі відновиться, замовлення агресивно продаватимуть у заявки чи поглинуть збиток? 💬

⚠️ Не є фінансовою порадою. Завжди керуйте своїм ризиком. 🛡️

🏷️ #FOGO #Layer1 #CryptoSecurity #Exploit

🐻 🚨

🚨 АВІЧІ РУШАЄТЬСЯ НА 40% ЧЕРЕЗ ЕКСПЛОЇТ SMART CONTRACT, ЯКИЙ ЗЛИВАЄ МІЛЬЙОНИ ЗІ СКАРБНИЦЬ! 🚨

Серйозна вразливість smart-контракту оголила заставні vault-скарбниці картки $AVICI, спричинивши різке переоцінювання на 40% вниз до $0.24. 📉 Інституційний потік одразу зник: змодельовані signature-експлойти обходили адміністративні дозволи escrow.

Експлойти викачали понад п’яту частину від загальної ринкової вартості, спричинивши масивний тиск продажів через тонкі стакани заявок. 📊 Одна з ончейн-сторежень показує, як дефекти в smart-контрактах руйнують структурну довіру швидше, ніж ринкова механіка. 🔍

Поки активні ризики зливу не усунені, структурна підтримка залишається повністю не закріпленою. 💬 Ти відходиш убік, доки аудит smart-контрактів не перезавантажить ситуацію, чи спостерігаєш за спекулятивним «змивом ліквідності»? 👇

⚠️ Це не фінансова порада. Завжди керуй своїм ризиком. 🛡️

🏷️ #AVICI #DeFi #Exploit #Crypto

⚠️ 📉

Сповіщення про #exploit en #Avici
Масовий дренаж криптодебетових карток: сума майже сягає мільйона доларів, а токен AVICI різко падає

Протокол і емітент криптокарток Avici зіткнулися з очевидною проблемою безпеки в режимі реального часу після підтвердження безперервного виведення коштів із залишків їхніх користувачів.
У зв’язку з інцидентом ціна рідного токена (AVICI) зазнала різкого падіння на ринках, тоді як дані on-chain демонструють постійний рух капіталу в напрямку, пов’язаному з атакувальником.

Активна вразливість у картках: Картокористувачі Avici почали повідомляти про випорожнення своїх балансів. Адреса гаманця, яку пов’язують із атакувальником, збирає безліч транзакцій у блокчейні та накопичує залишок, близький до мільйона доларів.

Негайний вплив на токен: На ринкових графіках ціна AVICI за лічені години впала більш ніж на 44%, після того як панічні розпродажі інвесторів спричинили масові продажі.

Офіційна заява команди: У повідомленні у своєму офіційному акаунті в X Avici визнав проблему, зазначивши: "Ми усвідомлюємо проблему, яка впливає на зняття коштів із карткових балансів, і уважно стежимо за ситуацією".

Розслідування триває: Компанія заявила, що працює безпосередньо зі своїми стратегічними партнерами та посередниками з емісії, щоб стримати проблему, і пообіцяла надавати оновлення, щойно просування розслідування буде помітним.
#solana #sol
$SOL

OneKey щойно публічно відтворив експлойт Ledger, від початку до кінця

- твердження: Ethereum-додаток Ledger (v1.22.1) міг підписувати транзакцію, відмінну від тієї, що показана на екрані
- ви підтверджуєте транзакцію A
- пристрій фактично підписує транзакцію B — ту, яку ви ніколи не бачили
- відтворено від початку до кінця, без теорій

Ledger це виправив у 1.22.3 — оновлюйтесь або лишайтеся в зоні ризику

я не можу це перевірити самостійно, але конкурент, який назвав точний номер версії публічно, — це не ніщо.

Залиште нижче версію прошивки Ledger — подивимось, скільки з вас уже оновилися.

я вже перевірив свою)
#oneKey #Ledger #exploit
$ETH

Moonwell:
- збиток: приблизно $8.7 млн
- хто це помітив: PeckShield

насправді це і є вся історія інциденту.

після цього провели аудит, якийсь час це працювало, але кошти все одно вкрали. цей патерн не набридає — я просто притупляюсь від заголовків.

я не уникаю DeFi через подібні пости. я виходжу з припущення, що це нормальний результат, а не рідкісний.

якщо дохідність пулу виглядає надто «чистою», то або ще ніхто не знайшов пролом, або хтось знайшов і не каже тобі.

уроки, які я постійно перевивчаю заново:
- перевіряй, хто може переміщати кошти, а не лише хто аудитив код
- не плутай «досі працює» з «перевірили»
- оцінюй масштаб експлойту, а не показник APY

не уявляю, який пул буде наступним. й ніколи не уявляю.$BTC $ETH $SOL
#exploit #PeckShieldAlert #moonwellDefi

Term Finance зіткнулася з експлойтом керування сховищем на $8,5 млн, що призвело до постійного закриття її Meta Vaults та втрати депозитів в Ethereum. Цей інцидент є ще одним різким нагадуванням про те, що DeFi постійно має ризики безпеки.

#DeFi #Exploit ‎

BounceBit щойно стер власний Layer-1: 286,5 млн BB (~3 млн дол.) було виведено за 14 транзакцій протягом 4 год 52 хв, починаючи з 19 серпня — і виправлення означає повне вимикання всього ланцюга.

Новина: BounceBit (підтримуваний YZi Labs, колишні Binance Labs) підтвердив протоколову вразливість рівня авторизації в його Evmos-орієнтованому L1, яка дозволила атакувальнику вивести BB з 9 основних акаунтів у мережі, починаючи з 21:02 UTC 19 серпня — без доступу до приватних ключів, гаманців чи акаунтів на біржах. Це був баг логіки смарт-контракту, а не злам з боку користувача. Оскільки стек Evmos, на якому це працювало, наразі припинено, BounceBit назавжди завершує BounceBit Chain і перевипускає BB як токен стандарту BEP-20 у BNB Chain на основі знімка стану до атаки (блок 20 697 260, 21:02:35 UTC 19 серпня). Вкрадені 286,5 млн BB виключено; законні власники, включно зі стейкнутими/незаблокованими позиціями, отримують автоматичне перевипускання — жодних претензій не потрібно. 20 серпня BB досяг рекордного мінімуму $0,0079, а потім відскочив приблизно на ~16%.

Що не так: це не типове виправлення для мосту — BounceBit відмовляється від L1, на який була побудована вся його теза про «BTC restaking chain». Це фактично є визнанням того, що ключова інфраструктура була слабкою ланкою. Повна міграція ланцюг-до-ланцюга операційно крихка: переліки на біржах, оновлення контрактів гаманців і інтеграції DeFi мають синхронно наздогнати, а будь-яка прогалина в цей проміжок — це якраз те місце, де стається наступна втрата. Це триваючий ризик виконання, а не вже вирішений інцидент.

Наш висновок: реальне структурне визнання, подане під вигляд «чистого виправлення». Перевірювана точка: чи завершиться міграція на BNB Chain без другого інциденту, і чи справді піде ліквідність CEX/DeFi слідом?

Відмова від власного Layer-1 відновлює довіру до тези про «BTC restaking», чи це підтверджує, що інфраструктура ніколи не була надійною?

Не є фінансовою порадою. DYOR.

$BB #BounceBit #CryptoNews #Exploit

Інший протокол повністю знищено.

Повний хаос для MAYAChain. Експлойт на $1,7 млн за допомогою шести взаємопов’язаних багів вивів CACAO, відправивши токен вниз на 89%. Це жорстоке нагадування, що безпека й досі є величезною слабкою ланкою.

#MAYAChain #Exploit ‎

Harmony відкочує всю свою мережеву “ланцюжковість” назад до 11 серпня після того, як зловмисник (експлойтер) підробив приблизно 4 млрд ONE — у процесі відкинувши понад 109 000 легітимних транзакцій.

Новина: Harmony підтвердила 12 серпня, що нападник використав уразливість у валідації receipt між шардями, щоб незаконно карбувати ~4 млрд ONE (~26% від обсягу в обігу), після чого ціна різко впала. 17 серпня основна команда оголосила про повний мережевий rollback до контрольної точки 11 серпня о 11:25 вечора за UTC — із відкиданням 109 126 звичайних транзакцій і 315 транзакцій зі стейкінгу, і підроблених, і легітимних.

Підводний камінь: rollback стирає кожну реальну транзакцію користувачів у цьому проміжку разом із шахрайськими, і він не може повернути токени, вже виведені на біржі до будь-якої заморозки — тож реальна економічна шкода може бути значною мірою незворотною незалежно від rollback. Це також відлунює хак 2022 року на мосту Harmony, підриваючи будь-яке рамкування “проблему вирішено”. Деякі медіа наводять значно більші цифри підроблених балансів (трильйони через повторні replay), які не підтверджені незалежно офіційним числом Harmony 4B — ми трактуємо 4B як надійну базову оцінку.

Наша думка: rollback усуває викривлення пропозиції в ланцюжку, але переписування історії блокчейну — суперечливий прецедент, і вже завдану позасистемну шкоду ним не виправити. Перевірюване спостереження: Harmony публікує повний пост-мортем із точним обліком того, скільки потрапило на біржі до будь-якої заморозки, чи ця цифра лишається оскарженою?

Чи має взагалі ланцюжок колись відкочувати власну історію, щоб скасувати експлойт, чи це нівелює саму ідею блокчейну?

Не є фінансовою порадою. DYOR.

$ONE #Harmony #Exploit #CryptoNews #Security

Ще один протокол отримав поразку.

Harmony щойно сильно постраждала. Зловмисник, імовірно, карбував 4 мільярди $ONE , через що ціна пірнула на 26%. Це величезний червоний прапор для безпеки мережі. Суцільний хаос.

#Exploit ‎

$OST SUFFERS $23.7M EXPLOIT - TRADERS' FUNDS SAFE 🔥

15 липня ліквідність Ostium’s treasury зазнала атаки на 23,7 мільйона USDC — зловмисник підробив звіти про ціни через офчейн-інфраструктуру. Але ключове ось що: забезпечення трейдерів зберігається в окремому смартконтракті й не зазнало впливу. Усі позиції лишаються відкритими, а торгівлю було заморожено протягом 60 хвилин після першої атаки.

Команда працює з Mandiant, zeroShadow та правоохоронними органами, щоб відстежити кошти. Відкриті позиції буде позначено за ринковою ціною, коли торгівля відновиться, і вони не зазнають впливу періоду призупинення. Як, на вашу думку, це позначиться на довірі до DeFi-протоколів у майбутньому?

Не є фінансовою порадою. Завжди керуйте своїми ризиками.

#Ostium #Exploit #DeFi #SecurityAlert

🔥

⚠️ Оповіщення про безпеку

Balance Coin впав на 99% після повідомленого експлойту на 915 000 доларів. Зловмисник успішно ліквідував кілька біткоїн-забезпечених сейфів, обмінявши активи на прибуток і спричинивши масштабне падіння ціни.

#Security #Exploit ‎

Thetanuts Finance було зламано 15 червня, коли зловмисник націлився на застарілий Ethereum vault і вивів активи вартістю близько $2.1 мільйона.
Згідно з даними Blockaid, ExVul та PeckShield, атака експлуатувала недолік в обліку низької пропозиції у формулі витрат та викупу в vault. Зловмисник використав капітал з флеш-кредиту, щоб зменшити пропозицію токенів до надзвичайно низького рівня, а потім повторно випустив токени за зниженою ціною через округлення в логіці контракту.
Аналіз ExVul виявив, що формула викупу vault стала вразливою, коли загальна пропозиція наблизилася до нульового рівня. Це дозволило зловмиснику генерувати завищені значення викупу та повторно виконувати транзакції на випуск та отримання, які виводили більше активів, ніж було внесено.
Початкові оцінки втрат склали близько $105,500 в USDC. Пізніший аналіз від PeckShield повідомив про загальний вплив у $2.1 мільйона.
PeckShield також заявив, що близько $2 мільйонів вартості опціонних токенів були захищені білими капелюшками. Зловмисник конвертував близько $105,000 в USDC в ETH та продовжував тримати додаткові активи, пов'язані з експлуатацією.
Thetanuts Finance заявив, що постраждалий vault був застарілим продуктом, який міг бути перенесений роки тому і не був пов'язаний з жодними поточними контрактами або активними продуктами. Команда планує випустити повний звіт після завершення свого розслідування.
Інцидент слугує ще одним нагадуванням про те, що застаріла інфраструктура DeFi може залишатися вразливою навіть після того, як протоколи мігрують користувачів до новіших систем.

#exploit #SecurityAlert #Thetanuts #CryptoNews #CryptocurrencyNews