Новини криптоміра

Сектор DeFi знову сколихнула новина про злом, але цього разу інцидент має не стільки технічний, скільки управлінський характер. Протокол Thetanuts Finance втратив близько $2,1 млн через експлуатацію застарілого сховища, яке команда давно закинула. Показово, що майже вся сума — близько $2 млн — була повернута білими хакерами, що порушує питання про процедури безпеки в проєктах із «мертвим кодом».

Атака була спрямована на смарт-контракт, який протокол перестав використовувати кілька років тому. У Thetanuts наголосили, що цей контракт не має відношення до поточних продуктів та активної інфраструктури. Однак, як показує практика, «забуті» контракти продовжують існувати в блокчейні, і їхні вразливості — золота жила для зловмисників.

Як це сталося

Першими тривогу забили фахівці з безпеки з SlowMist. Вони встановили, що корінь проблеми — помилка цілочисельного ділення у внутрішній функції мінтингу смарт-контракту. Після виведення коштів формула для розрахунку депозитів почала видавати нуль через особливості округлення. Це дозволило хакеру карбувати токени буквально з повітря, у необмежених кількостях.

За даними PeckShield, зловмисник обміняв $105 000 у USDC на приблизно 60 ETH. У гаманці атакуючого все ще залишаються опціонні токени на суму близько $34 000. Команда Thetanuts пообіцяла опублікувати детальний звіт після завершення розслідування.

Цей випадок — не поодинокий. Раніше ми спостерігали аналогічні атаки на Aztec Connect ($2,1 млн) та застарілі пули ліквідності Raydium ($1,3 млн). Загальна тенденція очевидна: зловмисники цілеспрямовано полюють на «сплячі» контракти, які продовжують працювати без підтримки.

Моя професійна думка: Інцидент із Thetanuts — це чергове нагадування, що в DeFi «забути» контракт не можна. Будь-який код, одного разу розміщений у блокчейні, залишається там назавжди. Командам необхідно впроваджувати автоматизовані системи моніторингу та процедури примусової деактивації застарілих контрактів. Інакше такі «сюрпризи» стануть нормою.