У четвер, протокол верифікації та обчислень на базі екосистеми Ethereum зазнав серйозної безпекової інциденту. Це не раптовий 0day-уразливість, а закладена бомба з п’ятирічним терміном дозрівання.

Згідно з аналізом даних у блокчейні, цей інцидент призвів до крадіжки приблизно 8535 Ethereum, що еквівалентно близько 26,6 мільйонам доларів США. Після події протокол опублікував заяву на платформі X, у якій підтвердив виявлення безпекової уразливості, що стосується зловмисників, і повідомив, що вже звернувся до правоохоронних органів.

Що найіронічніше? Атака була викликана дефектом у функції емісії старого смарт-контракту — розробники того часу залишили великий вразливий отвір у механізмі ціноутворення токенів, що дозволило хитрим зловмисникам отримати основний токен протоколу за ціною значно нижчою за ринкову.

Ситуація стала гучною. Записи у блокчейні показують, що у ній брали участь щонайменше двоє зловмисників, з яких головний отримав прибуток близько 26 мільйонів доларів, а інший — "мало" близько 250 тисяч доларів. Після використання уразливості ціна токена миттєво обвалилася — з 0,16 долара до 0,00007721 долара, що становить падіння на 99,9%. Інвестори були приголомшені.

Ця подія стала тривожним дзвінком для всієї екосистеми: старі смарт-контракти все більше стають "здобиччю" хакерів. Здається, регулярний аудит безпеки та оновлення контрактів вже не є опцією.