Sausio 20 d. „Makina Finance“ patyrė skubios paskolos išnaudojimą, dėl kurio patyrė 4,1 mln. USD nuostolį.
Užpuolikas panaudojo MEV robotus išankstiniams sandoriams, o tai leido jiems nusausinti 1 299 ETH iš protokolo.
Išsami informacija apie pažeidimą
„Blockchain“ saugos įmonė „PeckShieldAlert“ pranešė X, kad „Makina Finance“ buvo išnaudota už maždaug 1 299 ETH, kurios vertė yra apie 4,13 mln. USD. Tinklo duomenys rodo, kad užpuolikas nusitaikė į „Dialectic USD/USC Stableswap“ fondą manipuliuodamas jo kaina.
„CertiKAlert“ teigimu, pažeidimas prasidėjo įsilaužėliui pasiskolinant 280 mln. USDC greitą paskolą. Naudodami 170 milijonų USDC, jie pradėjo manipuliuoti MachineShareOracle, kuriuo DUSD / USDC baseinas remiasi nustatydamas kainas. Tada užpuolikas per fondą apsikeitė 110 milijonų USDC, išgaudamas maždaug 5 milijonų dolerių vertės.
MEV robotas, veikiantis iš adreso 0xa6c2, iš anksto vykdė operaciją, atlikdamas daugybę greitų sandorių, kurie iš rinko atėmė apie 1 299 ETH. Vėliau pavogtos lėšos buvo perkeltos į du adresus: 0xbed2 turėjo apie 3,3 mln. USD, o 0x573d – 880 000 USD.
Nuo tada „Makina Finance“ sprendė situaciją per savo socialinę žiniasklaidą, nurodydama,
„Gmak, anksti šį rytą gavome pranešimų apie incidentą su $DUSD Curve baseinu.
Įmonės komanda paaiškino, kad problema susijusi tik su jos DUSD likvidumo tiekėjo pozicijomis Curve, be jokių požymių, kad būtų paveiktas kitas turtas ar diegimas. Komanda taip pat patvirtino mašinose saugomo pagrindinio turto saugumą.
Jums taip pat gali patikti:
Atsargumo sumetimais visose mašinose buvo įjungtas saugos režimas, kol komanda toliau vertina situaciją. Likvidumo teikėjams DUSD kreivės fonde taip pat buvo patarta atsiimti savo lėšas.
Kitur „CyversAlerts“ pažymėjo įtartinus sandorius, susijusius su „SynapLogic on Base“. Ataskaitose nurodoma, kad įsilaužėlis iš pradžių buvo finansuojamas per „Tornado Cash on Ethereum“, o vėliau perėjo lėšas į „Base“ naudodamas „GasZip“, o vėliau įsigijo apie 144 000 SYP žetonų.
Tačiau vėliau „SynapLogic“ patvirtino, kad problema visiškai išspręsta, teigdama, kad jos sistemos veikia normaliai ir visos vartotojų lėšos išlieka saugios.
Truebit atnaujinimas
Epizodas pasirodė praėjus vos savaitei po pirmojo didelio 2026 m. DeFi įsilaužimo. Neseniai buvo pažeistas „Truebit Protocol“ saugumas, dėl kurio ETH buvo prarasta maždaug 26,5 mln. USD. Atlikus tyrimus nustatyta, kad įsilaužėlis pasinaudojo pažeidžiamumu išmaniosios sutarties kainodaros logikoje, kuri leido jiems nemokamai nukaldinti TRU žetonus.
Po išnaudojimo projekto komanda paskelbė, kad tiria situaciją. Šio straipsnio rašymo metu oficialus atkūrimo planas nebuvo paskelbtas, o panaudotos lėšos lieka grandinėje.
Tuo tarpu grandinės saugos įmonės, tokios kaip „SlowMist“ ir „Certik“, paskelbė post mortems, perspėdami, kad pasenusios „Solidity“ versijos išlieka sistemine „DeFi“ rizika. Pirmoji rekomendavo tokias sistemas apsaugoti naudojant SafeMath biblioteką, kad būtų išvengta loginių spragų, atsirandančių dėl sveikųjų skaičių perpildymo.
