Все новости крипты
в одном месте!
Больше не нужно искать — необходимые
обучающие материалы и подсказки всегда под рукой
Больше не нужно искать — необходимые
обучающие материалы и подсказки всегда под рукой
Хакер атаковал смарт-контракт для обмена токенов в EVM-сетях DeFi-протокола Ekubo. Об инциденте сообщила команда проекта.
Разработчики отметили, что поставщики ликвидности не пострадали. Версия площадки на Starknet также осталась в безопасности.
Пользователям посоветовали отозвать все активные разрешения и предупредили о возможных фишинговых атаках.
Согласно данным Blockaid, атаке подвергся кастомный вспомогательный контракт Ekubo в сети Ethereum. Эксперты оценили предварительный ущерб в 1,4 миллиона долларов.
Под угрозой оказались только те пользователи, которые ранее выдали разрешение на списание токенов конкретному контракту v2.
Причина взлома
В Blockaid связали эксплойт с ошибкой в механизме обратного вызова. Вспомогательный контракт позволял злоумышленнику подставлять в запрос произвольные данные: кто оплачивает, какой токен и в каком объёме.
Контракт не проверял, действительно ли указанный плательщик инициировал операцию или согласился быть плательщиком.
При наличии старого разрешения ERC-20 атакующий мог указать адрес жертвы как плательщика, вызвать функцию через Ekubo Core и заставить контракт списать токены с помощью transferFrom. Механизм расчётов Ekubo Core затем переводил украденную сумму хакеру.
Основатель SlowMist под псевдонимом Cos уточнил, что один из пользователей выдал бесконечное разрешение контракту Ekubo 158 дней назад. Злоумышленник 85 раз инициировал списание по 0,2 WBTC — в итоге с адреса было выведено 17 WBTC.
Ончейн-аналитик под ником Darkfost сообщил, что хакер отправил похищенные средства в Velora, обменял их на 404 000 долларов в USDC, 403 000 долларов в DAI и 239,5 ETH, а затем перевёл в криптомиксер Tornado Cash.
Напомним, апрель 2026 года установил рекорд по числу взломов в криптоиндустрии. Аналитики DefiLlama зафиксировали более 20 инцидентов за месяц.
Крупнейшим стал эксплойт протокола Kelp на 292 миллиона долларов. На втором месте — атака на Drift с ущербом в 280 миллионов долларов.
Популярные новости: