Атака на Thetanuts: $2,1 млн витекли з покинутого сховища — хакер повернув майже все
Сектор DeFi знову сколихнув інцидент, пов'язаний з уразливістю в застарілих смарт-контрактах. Цього разу жертвою став протокол Thetanuts Finance, з неактивного сховища якого зловмисник вивів близько $2,1 млн. Однак, на відміну від багатьох інших зломів, фінал цієї історії виявився несподіваним: білий хакер повернув практично всю суму.
Суть експлойту: стара помилка в діленні цілих чисел
Першими тривогу забили фахівці з безпеки з SlowMist. Вони встановили, що причина інциденту — класична помилка у функції minting одного зі старих смарт-контрактів. Через некоректне ділення цілих чисел формула розрахунку депозитів почала видавати нуль. Це дозволило атакуючому нескінченно та безкоштовно генерувати токени, фактично спустошивши пул ліквідності.
За даними аналітиків PeckShield, хакер обміняв $105 000 в USDC на приблизно 60 ETH. На момент написання аналізу в його гаманці все ще залишаються опціонні токени на суму близько $34 000, які, ймовірно, не підлягають негайній конвертації.
Реакція команди Thetanuts
Команда протоколу негайно відреагувала на інцидент, підкресливши, що зламаний контракт не має відношення до їхніх поточних продуктів. Вони заявили, що це сховище було виведено з експлуатації кілька років тому, і його вразливість не загрожує працюючій інфраструктурі. Примітно, що після публічного звернення хакер добровільно повернув вкрадені кошти, що вказує на його «білу» мотивацію — демонстрацію вразливості, а не особисте збагачення.
Думка експерта
Цей випадок — чергова ланка в ланцюжку атак на «цифрові руїни» DeFi. Протоколи часто забувають про старі контракти, які продовжують зберігати кошти, але не обслуговуються. Thetanuts пощастило: хакер виявився етичним. Але насправді такі «забуті» vaults залишаються бомбою уповільненої дії. Кожному проєкту варто провести повний аудит усіх коли-небудь розгорнутих контрактів, особливо тих, що позначені як неактивні. Ігнорування цього правила рано чи пізно призведе до незворотних втрат.