DeFi - "Атаки" и Безопасность

[eisen33]

Резервы WETH также остаются замороженными на затронутых рынках, включая Ethereum, Arbitrum, Base, Mantle и Linea.
Aave активно проверяет информацию и оценивает потенциальные решения.

Arbitrum вернул $70,9 млн
https://x.com/arkham/status/2046438688008352035

Совет безопасности Arbitrum только что вывел 70,97 МЛН ETH с адресов эксплойтера KelpDAO.
Они отправили их на адрес 0x000000000000000000000000000000000000DA0

Северная Корея украла деньги, а Arbitrum вернул их обратно.

[KTChampions]

Arbitrum вернул $70,9 млн
https://x.com/arkham/status/2046438688008352035

Совет безопасности Arbitrum только что вывел 70,97 МЛН ETH с адресов эксплойтера KelpDAO.
Они отправили их на адрес 0x000000000000000000000000000000000000DA0

Северная Корея украла деньги, а Arbitrum вернул их обратно.

Выглядит как Северная Корея украла деньги, а Арбитрум украл их обратно  
Я конечно не спец в децентрализации, но тут либо трусы либо крестик.
Да и вообще эти схематозы выглядят вот так. Со стороны выглядит что Лазарус благое дело делает - очищает экосистему от дураков и мусора.
Вот этот твит понравился по теме  

[Unsoldier]

Протокол Volo, основанный на алгоритме Sui, был взломан

Платформа для стейкинга ликвидных активов Volo Protocol на сети Sui сообщила о взломе, в результате которого были потеряны активы на сумму около 3,5 миллионов долларов. Атака затронула активы протокола в хранилищах WBTC, XAUm и USDC.

Volo также сообщили об успешном замораживании активов на сумму 500 000 долларов.

Источник: https://www.theblock.co/post/398393/sui-volo-protocol-exploited

[zasad@]

Arbitrum вернул $70,9 млн
https://x.com/arkham/status/2046438688008352035

Совет безопасности Arbitrum только что вывел 70,97 МЛН ETH с адресов эксплойтера KelpDAO.
Они отправили их на адрес 0x000000000000000000000000000000000000DA0

Северная Корея украла деньги, а Arbitrum вернул их обратно.

Выглядит как Северная Корея украла деньги, а Арбитрум украл их обратно  
Я конечно не спец в децентрализации, но тут либо трусы либо крестик.
Да и вообще эти схематозы выглядят вот так. Со стороны выглядит что Лазарус благое дело делает - очищает экосистему от дураков и мусора.
Вот этот твит понравился по теме  

Л2 слои не децентрализованы с самого начала. Даже DAI там могут быть заблокированы.
ИИ обработка статей
"Arbitrum: Как показал прецедент с KelpDAO, Совет безопасности может использовать системные транзакции (ArbitrumUnsignedTxType), чтобы принудительно переместить средства (включая ETH или DAI) с любого адреса на подконтрольный кошелек.

Optimism и Base: Эти сети работают на базе OP Stack. У них есть механизмы «экстренного торможения» (Emergency Brakes), которые позволяют мультисиг-кошелькам (управляемым фондами Optimism Foundation или Coinbase) останавливать работу мостов или определенных контрактов в случае взлома.

zkSync и Starknet: Эти сети также имеют «ключи администратора» (upgradeability), которые позволяют изменять логику работы сети в чрезвычайных ситуациях. Хотя прямой заморозки конкретных токенов DAI там пока не проводилось, техническая возможность обновления контрактов позволяет внедрить такие ограничения. "

[baeva]

Никогда такого не было и вот опять! На этот раз хакнули уже ведущий дефи протокол на блокчейне SUI. Если я не ошибаюсь, то это уже второй раз на SUI случается, в прошлый раз был другой протокол. На этот раз жертвой стали - Scallop, которые в ствоем твиттере сообщили об эксплойте side-контракта. Злоумышленники украли 150к sui. Хоть на данный момент это небольшая сумма, но коль уж это ведущий протокол на блокчейне - то сумма для них не маленькая. Однако, в том же посте они сообщили, что вернут 100% убытков.

Для понимания - сайд контракт это просто паттерн для проектирования и в контексте этого взлома - был поврежден контракт, который хранит доп инфу, или же выполняет вспомогательные дейтсвия перед основным контрактом

твит

[dwyane36]

Л2 слои не децентрализованы с самого начала. Даже DAI там могут быть заблокированы.
ИИ обработка статей
"Arbitrum: Как показал прецедент с KelpDAO, Совет безопасности может использовать системные транзакции (ArbitrumUnsignedTxType), чтобы принудительно переместить средства (включая ETH или DAI) с любого адреса на подконтрольный кошелек.

Так ведь и DAI - это скорее гибридный стейбл, а не полностью децентрализованный, учитывая, что в качестве обеспечения используется USDC.
Что касается Arbitrum, то этот случай хоть и единичный, но этого более чем достаточно, чтобы доверие к проекту заметно упало. Сейчас это сделали из-за взлома, а в дальнейшем вполне могут повторить это с любым адресом, например, если будет давление со стороны регуляторов.

[Unsoldier]

ZetaChain приостановил кроссчейн-операции после атаки на смарт-контракт

27 апреля хакер воспользовался уязвимостью в контракте GatewayEVM блокчейна первого уровня ZetaChain. Инцидент затронул только внутренние кошельки команды, заявили разработчики.

Пользовательские средства не пострадали. После обнаружения атаки проекту удалось предотвратить дальнейшую компрометацию активов, приостановив кроссчейн-транзакции.

Команда ZetaChain не раскрыла точную сумму, но пообещала опубликовать подробный отчет в ближайшее время.

Также хакерской атаке подвергся проект Singularity Finance в сети Base

Администратор платформы ошибся в настройках, указав недопустимую комиссию для оракулов, чем воспользовался хакер. Злоумышленник взял в кредит 100 000 USDC на Morpho, внес их в хранилище, получил все токены (99,99%) по неправильному курсу и забрал реальные средства.

Ущерб составил $413 000.

Источник:
https://forklog.com/news/zetachain-priostanovil-krosschejn-operatsii-posle-ataki-na-smart-kontrakt/

[zasad@]

Л2 слои не децентрализованы с самого начала. Даже DAI там могут быть заблокированы.
ИИ обработка статей
"Arbitrum: Как показал прецедент с KelpDAO, Совет безопасности может использовать системные транзакции (ArbitrumUnsignedTxType), чтобы принудительно переместить средства (включая ETH или DAI) с любого адреса на подконтрольный кошелек.

Так ведь и DAI - это скорее гибридный стейбл, а не полностью децентрализованный, учитывая, что в качестве обеспечения используется USDC.
Что касается Arbitrum, то этот случай хоть и единичный, но этого более чем достаточно, чтобы доверие к проекту заметно упало. Сейчас это сделали из-за взлома, а в дальнейшем вполне могут повторить это с любым адресом, например, если будет давление со стороны регуляторов.

Использование различных активов в залоге не считается плохим выбором. USDC в проекте не более 33% и используются для ликвидности протокола, основный активы по традиции в американских трежерис. DAI в эфириуме децентрализованы, они не могут быть заблокированы, поэтому они и пользуются спросом даже после ребрендинга проекта.

[Unsoldier]

Протокол Wasabi подвергся взлому

Атака затронула средства в нескольких сетях: Ethereum, Base, Berachain и Blast. Эксперты CertiK оценили потери в $5,5 млн.

Согласно Blockaid, злоумышленник получил доступ к административному ключу и через специальный кошелек Wasabi, назначив свою версию контракта управляющей. Затем с помощью UUPS-апгрейда он подменил внутреннюю логику хранилищ платформы и вывел активы.

Источник: https://forklog.com/news/haker-vyvel-iz-protokola-wasabi-bolee-5-mln/

[Numeral]

ДАО Arbitrum вынесло на голосование передачу 30 766 ETH (~$71 млн) в фонд DeFi United — инициативу по возмещению ущерба от взлома Kelp. Средства ранее заморозил совет безопасности проекта, переведя их на промежуточный адрес. Голосование завершится 7 мая; к моменту публикации за предложение проголосовало 34 млн ARB.

DeFi United к 1 мая привлекла свыше $314 млн — достаточно для покрытия убытков от взлома в $290 млн. В случае одобрения ДАО Arbitrum станет крупнейшим донором фонда.

[Unsoldier]

Хакер похитил $1,4 млн через уязвимость в контракте Ekubo

Хакер атаковал контракт для обмена токенов на EVM-сетях DeFi-протокола Ekubo.

Разработчики подчеркнули, что поставщики ликвидности не пострадали. Starknet-версия площадки также остается в безопасности. Пользователям рекомендовали отозвать все действующие разрешения и предупредили о возможном фишинге.

По данным Blockaid, атака затронула кастомный вспомогательный Ekubo в Ethereum. Эксперты оценили предварительный ущерб в $1,4 млн.

Источник:
https://forklog.com/news/haker-pohitil-1-4-mln-cherez-uyazvimost-v-kontrakte-ekubo/

[KTChampions]

ДАО Arbitrum вынесло на голосование передачу 30 766 ETH (~$71 млн) в фонд DeFi United~

Дети поголосовали и решили что они в доме главные 
Но вот немного реальности:

Суд Нью-Йорка запретил Arbitrum размораживать украденные хакерами 30 000 ETH
На активы претендует группа истцов, связанных с другим делом против КНДР

https://forklog.com/news/sud-nyu-jorka-zapretil-arbitrum-razmorazhivat-ukradennye-hakerami-30-000-eth/

Арбитрум причем не стал спокойненько дальше делать что наголосовали, а подал ходатайство (точнее не они а Aaveшники) об отмене запрета. Конкурсы конечно интересные, но я таки не пойму это уже децентрализация или еще нет? 
Не знаю чем дело закончится, но мне видится корень проблемы в этом:

Выглядит как Северная Корея украла деньги, а Арбитрум украл их обратно  

Как только вы начали заниматься херней, сразу в тот же момент вас заставляют заниматься херней в пользу государства. Может проще было не начинать? 

Со стороны выглядит что Лазарус благое дело делает - очищает экосистему от дураков и мусора.

С детства за Лазарус!  Настоящие криптаны с принципами, а не вот это вот всё.

[Numeral]

Суды всегда будут выше чем какие-то крипто-проекты, но конечно удивляет, что суд Нью-Йорка именно этот, а не какой-то другой решает судьбу эфира от Арбитрум.

Согласно указу, который еще необходимо официально передать уполномоченным лицам Arbitrum, структуре запрещается перемещать и как-либо взаимодействовать с заблокированными активами до дальнейшего распоряжения суда.

А гипотетически если еще какие-то суды мира свои указы к структуре Арбитрум направят, то что они делать будут. Все-таки почему именно Нью-Йоркский суд самый полномочный из всех полномочных в мире. Или может быть ДАО Арбитрум как общество зарегистрировано в Нью-Йорке, если так, то как говорится могут пожинать плоды. Но если это не так, то будет крайне странно если в Арбитрум согласятся с решением этого суда. И для них же губительно, Арбитрум потом можно будет закрывать  за неактуальностью.   

[safar1980]

В LayerZero признали ошибки после взлома Kelp на $292 млн
Команда LayerZero публично извинилась за реакцию на взлом Kelp и признала, что использование конфигурации с единственным верификатором для защиты крупных транзакций было ошибкой.

    Мы допустили ошибку, позволив нашему DVN действовать как 1/1 для транзакций с высокой стоимостью. Мы не контролировали безопасность решения, что создавало риск, который мы просто не увидели, —  признали в LayerZero.

Платформа анонсировала ряд изменений, включая:

    отказ от конфигурации единственного верификатора — по умолчанию применяется схема 5/5 и не менее 3/3;
    разработка второго DVN-клиента;
    запуск Console — единой платформы для мониторинга безопасности и аномалий для эмитентов активов;
    повышение порога мультиподписи с 5/3 до 7/10 для всех блокчейнов.

[Altryist]

Протоколы Kelp и Aave начали восстановление активов после апрельского взлома на $292 млн. Разработчики планируют вернуть 117 132 rsETH в течение двух недель. Первую часть средств переведут на мейннет в ближайшее время. Сразу после этого Kelp откроет вывод активов — по предварительной оценке, в течение 24 часов. Пользователям снова станут доступны депозиты, минт и кроссчейн-переводы.

Команда Kelp обновила настройки безопасности моста LayerZero. Теперь для подтверждения транзакций требуется четыре независимых узла вместо одного, а количество необходимых блоков выросло с 42 до 64. Также протокол начал переход на технологию CCIP от Chainlink.
Представители Aave подтвердили начало выплат и сожгли токены rsETH, которые хакер удерживал в сети Arbitrum.

[Unsoldier]

Протокол Transit Finance подвергся взлому на сумму 1.88 млн долларов

Украденные средства находятся на адресе 0x8a634DfA2609358849D7D65FFA270C8A57a8abA5 в стейблокоине DAI.

По сообщению Transit Finance, проблема была связана с смарт-контрактом ранней версии, ранее развернутым в сети TRON. Хотя это устаревший контракт и он был выведен из эксплуатации с 2022 года, в нем недавно были использованы исторические уязвимости, что затронуло ограниченное число пользователей.

Пострадавшие пользователи получат полную компенсацию.

Источники:
https://x.com/PeckShieldAlert/status/2054537423405933016
https://x.com/TransitFinance/status/2054559075384590681

[safar1980]

Взлом THORChain $10 млн 2026: инструкция по спасению активов и уроки безопасности

15 мая 2026 года кроссчейн-протокол THORChain подвергся взлому на $10,7 млн. Пошаговая инструкция: как проверить свои средства, спасти активы и защититься от будущих атак кроссчейн-протоколов.

Представьте: вы заходите в кошелёк, а за последние полчаса из протокола исчезло полмиллиона долларов в минуту. 15 мая 2026 года кроссчейн-протокол THORChain подвергся взлому, и пока вы читаете это вступление, хакеры вывели $10,7 млн — 36,75 BTC и около $7 млн в сетях BNB Chain, Ethereum и Base. Именно столько насчитали аналитики PeckShield, а ZachXBT первым забил тревогу. Arkham Intelligence позже уточнила сумму на адресах злоумышленника до $10,8 млн. Сумма не рекордная, но тревожный звоночек для каждого держателя кроссчейн-ликвидности. Давайте разбираться не в чужой хронологии, а в том, как не стать следующим пострадавшим.

[Unsoldier]

Взлом THORChain $10 млн 2026: инструкция по спасению активов и уроки безопасности

15 мая 2026 года кроссчейн-протокол THORChain подвергся взлому на $10,7 млн. Пошаговая инструкция: как проверить свои средства, спасти активы и защититься от будущих атак кроссчейн-протоколов.

Представьте: вы заходите в кошелёк, а за последние полчаса из протокола исчезло полмиллиона долларов в минуту. 15 мая 2026 года кроссчейн-протокол THORChain подвергся взлому, и пока вы читаете это вступление, хакеры вывели $10,7 млн — 36,75 BTC и около $7 млн в сетях BNB Chain, Ethereum и Base. Именно столько насчитали аналитики PeckShield, а ZachXBT первым забил тревогу. Arkham Intelligence позже уточнила сумму на адресах злоумышленника до $10,8 млн. Сумма не рекордная, но тревожный звоночек для каждого держателя кроссчейн-ликвидности. Давайте разбираться не в чужой хронологии, а в том, как не стать следующим пострадавшим.

Пишут, что в сети уже появилось множество ресурсов, предлагающих возмещение ущерба. Например, один из порталов, запущенный якобы от имени организации THORChain Foundation, предлагает подключить пострадавший кошелек для возмещения ущерба. По заявлению злоумышленников, «окно для возврата средств» закроется через 21 день. Пользователи Твиттера подчеркивают, что это мошенничество, и призывают быть осторожными.

Команда THORChain заявляет:
«THORChain в настоящее время не проводит никаких программ возврата средств, аирдропов или компенсаций. Любой аккаунт, утверждающий обратное, маскируется под нас или распространяет дезинформацию»

Источник:
https://forklog.com/news/komanda-thorchain-raskryla-detali-vzloma-na-10-mln/

[Numeral]

Менее 2% TVL в DeFi застраховано — и это один из главных барьеров для массового принятия, заявил основатель Nexus Mutual Хью Карп. По его словам, через протоколы децентрализованных финансов проходят миллиарды долларов, но страховой защиты у инвесторов практически нет.

Только в апреле 2026 года сектор потерял свыше $600 млн: крупнейшие взломы затронули Drift и Kelp DAO. За шесть лет с момента появления термина DeFi незастрахованные протоколы кредитования лишились в результате эксплойтов $7,7 млрд, следует из данных DeFiLlama.

[KTChampions]

Менее 2% TVL в DeFi застраховано — и это один из главных барьеров для массового принятия, заявил основатель Nexus Mutual Хью Карп. По его словам, через протоколы децентрализованных финансов проходят миллиарды долларов, но страховой защиты у инвесторов практически нет.

Только в апреле 2026 года сектор потерял свыше $600 млн: крупнейшие взломы затронули Drift и Kelp DAO. За шесть лет с момента появления термина DeFi незастрахованные протоколы кредитования лишились в результате эксплойтов $7,7 млрд, следует из данных DeFiLlama.

Какой-то, мать его, мегамозг 
Интересно как он себе представляет механизм страхования дефи рисков? Кто бы ни страховал (централизованная контора или децентрализованная) надо будет морозить капиталец под риск, грубо говоря делать ставку против того что кого-то взломают. Какой будет кеф для этих дырявых дефи поделок? 1 к 10-ти за год?  И все мы знаем что по-любому страхование создаст еще один фактор спроса на взломы - найдутся те кто будут нахлобучивать стразовщиков.