DeFi - "Атаки" и Безопасность

[Numeral]

У меня по этому форуму сложилось впечатление, что очень многие хранят свои стейблкоины в таких протоколах. Наверняка ведь сейчас всё страшнее и страшнее становится так хранить, да? Если да, то куда планируете перекладывать?

Сейчас не храню в defi-протоколах никакую крипту пока что, нужно подождать, потому что с появлением продвинутых ИИ-продуктов можно получить проблемы почти на любом протоколе, а соответственно и убытки. Если только как-то страховать свои депозиты в defi, опять же если кто-то такие услуги вообще предоставляет. Но наверное если прийти в страховую компанию и обрисовать им свою ситуацию, то кто-то может предложит индивидуальное решение. А перекладывать некуда, только просто хранить у себя.

[internetional]

Команда разработчиков Taiko сообщила о компрометации механизма проверки состояния блокчейна.

Это, конечно, правда. Только важно добавить, как эта компрометация произошла. Там ведь никто ничего не взламывал, а разработчики сами выложили на Github приватный ключ, необходимый для подписания действий, чтобы они считались подлинным. И этот ключ там почти два года пролежал, никому не нужный. Хотя, как выясняется, он давал доступ к активам на 1,7 млн долларов, которые в итоге кто-то и забрал.

[dwyane36]

Команда разработчиков Taiko сообщила о компрометации механизма проверки состояния блокчейна.

Это, конечно, правда. Только важно добавить, как эта компрометация произошла. Там ведь никто ничего не взламывал, а разработчики сами выложили на Github приватный ключ, необходимый для подписания действий, чтобы они считались подлинным. И этот ключ там почти два года пролежал, никому не нужный. Хотя, как выясняется, он давал доступ к активам на 1,7 млн долларов, которые в итоге кто-то и забрал.

Что-то мне кажется, что на гитхабе таких репозиториев дефи-проектов, где случайно или намеренно хранятся приватные ключи и другая чувствительная информация, может быть немало. А учитывая то, как развивается ИИ, то не исключено, что хакеры могут начать массово шерстить подобные репозитории в поисках приватных ключей.

[andy_pelevin]

Сейчас не храню в defi-протоколах никакую крипту пока что, нужно подождать, потому что с появлением продвинутых ИИ-продуктов можно получить проблемы почти на любом протоколе, а соответственно и убытки. Если только как-то страховать свои депозиты в defi, опять же если кто-то такие услуги вообще предоставляет. Но наверное если прийти в страховую компанию и обрисовать им свою ситуацию, то кто-то может предложит индивидуальное решение. А перекладывать некуда, только просто хранить у себя.

Волков бояться, в лес не ходить. (с)

Какой смысл в покупке цифровых активов если ты боишься извлекать из этих активов прибыль? Да, можно как то объяснить боязнь волатильности и волатильных активов, но заработать на стэйблах сопоставимую с волатильными активами прибыль (20%-30%) можно только при запредельных рисках, а 4%-5% на стэйблах в протоколах с околонулевыми рисками и при маленьких объёмах мало кому интересны.  

[internetional]

4%-5% на стэйблах в протоколах с околонулевыми рисками и при маленьких объёмах мало кому интересны.  

Думаете, всё ещё остаются протоколы, о которых можно сказать, что у них околонулевые риски? При таком количестве взломов и краж мне всё меньше в это верится. Не то чтобы я пойду туда за 4-5% годовых на стейблы (у меня и стейблы-то только на платёжной карточке есть), но всё-таки интересно, что можно советовать людям, ищущим надёжный дефай, который невозможно взломать.

[Numeral]

Какой смысл в покупке цифровых активов если ты боишься извлекать из этих активов прибыль?  

Я не покупаю цифровые активы, но в них могут быть небольшие накопления. Если мои стейблы в течение пары месяцев не лежат под условные 4%, то я много не теряю, слово боишься не уместно в контексте хай-риск инвестиций, ты либо инвестируешь, либо нет. Да был период, когда все работало как швейцарские часы, но сейчас на мой взгляд риски стали выше (кто-то может считать иначе и это его право), а биткойн и так является инвестицией в чистом виде, его не обязательно куда-то в DeFi выгружать.

[andy_pelevin]

Я не покупаю цифровые активы, но в них могут быть небольшие накопления. Если мои стейблы в течение пары месяцев не лежат под условные 4%, то я много не теряю, слово боишься не уместно в контексте хай-риск инвестиций, ты либо инвестируешь, либо нет. Да был период, когда все работало как швейцарские часы, но сейчас на мой взгляд риски стали выше (кто-то может считать иначе и это его право), а биткойн и так является инвестицией в чистом виде, его не обязательно куда-то в DeFi выгружать.

У меня другое мнение по этому поводу, у меня по прежнему всё работает как швейцарские часы. Высокие риски в крипте были всегда, что касается работы, конкретно, в DeFi , то по моему, эти риски стали меньше. Риски в любых финансовых технологиях, не только в крипте, будут всегда, но рисками можно управлять.

Да, биткойн является инвестицией в чистом виде на дистанции 5+ лет при условии, что этих биткойнов много_{(у каждого своя оценка, что такое много, это далеко не всегда целый биткойн).} В ситуации когда количество биткойна сильно меньше, чем хотелось бы, а средства на увеличение этого количества сильно ограничены, инструменты DeFi позволяют достичь желаемой цели без дополнительных вложений. Это требует некоторых усилий по приобретению новых компетенций и добавляет головной боли, но оно того стоит. Если даже эти усилия не приведут к созданию состояния из карманных расходов в школе, приобретённые компетенции точно не будут лишними. Ну или, как в моём случае, что б мозги на пенсии не ржавели,... тоже польза, как ни как.

[xandry]

У меня по этому форуму сложилось впечатление, что очень многие хранят свои стейблкоины в таких протоколах. Наверняка ведь сейчас всё страшнее и страшнее становится так хранить, да? Если да, то куда планируете перекладывать?

Держу в defi на kamino (они используют пулы Orca и Raydium), стейкинг Tramplin, и кучу других стейкингов. Это всё равно остаётся способом хоть немножко увеличить то, что укатилось по курсу куда-то за плинтус (за исключением стейблов, конечно же). Недавно Drift вот поломали, где у меня тоже токены были, но у меня есть уверенность, что они восстановятся.
Сейчас не только в плане безопасности для проектов испытание происходит, но и в принципе переоценка их необходимости из-за того, что капитализация скукожилась.

[internetional]

Если принять во внимание тот факт, основной актив в дефай-протоколах, эфир, стал стоить на 47% дешевле, то можно сказать, что объёмы заблокированных в дефай-протоколах остались на том же уровне. К примеру, все мои активы лежат в дефай, я ни чего не выводил,  в эфирах активов стало больше, но в баксах эти активы стали стоить меньше. И я совершенно по этому поводу не волнуюсь, перевернётся и на нашей улице самосвал с пряниками...

Я собрал с Defillama сведения об активах, заблокированных в разных дефай-протоколах. Она мне выдала вот такую разбивку:

Code:

- Stablecoins: $23,219,006,776 | 34.06% of token breakdown | 32.84% of /v2/chains denominator
- ETH + ETH LST/LRT: $14,597,560,216 | 21.41% of token breakdown | 20.65% of /v2/chains denominator
- BTC + wrapped/restaked BTC: $13,878,324,908 | 20.36% of token breakdown | 19.63% of /v2/chains denominator
- Other/uncategorized: $12,181,929,293 | 17.87% of token breakdown | 17.23% of /v2/chains denominator
- BNB + BNB LST: $2,040,628,706 | 2.99% of token breakdown | 2.89% of /v2/chains denominator
- SOL + SOL LST: $1,352,423,907 | 1.98% of token breakdown | 1.91% of /v2/chains denominator
- RWA/tokenized assets: $901,364,728 | 1.32% of token breakdown | 1.28% of /v2/chains denominator

Token breakdown - это общие количества токенов, которые Defillama отдаёт по API, умноженные на текущие курсы этих токенов.
/v2/chains deniminator - это TVL, который Defillama считает самостоятельно и выдаёт на главной странице сайта.

Между этими двумя цифрами есть небольшое расхождение (я так и не понял, откуда оно берётся), но оно мало на что влияет.

Действительно, получается, что основные активы там - не стейблы, как я всегда думал, а криптовалюты типа ETH и BTC. Да, похоже, что весь так называемый отток - это вовсе не отток, а всего лишь снижение курсов.

[Numeral]

Взломана платформа SecondFi - украдено 16 млн ADA с 374 кошельков

Компания EMURGO, соучредитель Cardano, разработала план возврата активов пользователям кошелька SecondFi.

Команда проекта завершила расследование, проверила балансы кошельков и нашла «понятное решение для возврата средств». Весь процесс займет около двух недель: на первой разработают механизм возврата, на второй — протестируют его.

Генеральный директор EMURGO Филлип Пон попросил пострадавших не перемещать средства и не действовать в обход официальных инструкций. Механизм строится с учетом текущего состояния скомпрометированных кошельков, поэтому любые самостоятельные шаги пользователей могут все усложнить.

[safar1980]

Хакеры полностью опустошили протокол конфиденциальности Hinkal

3 июля, хакеры вывели из протокола конфиденциальности Hinkal около 830 000 стейблкоинов USDC. Общая заблокированная стоимость активов (TVL) в Hinkal составляла всего $829 000 на пяти блокчейнах, то есть злоумышленники фактически опустошили весь протокол.
Специалисты по кибербезопасности компании CertiK выяснили, что злоумышленники использовали внешний аккаунт с адресом 0xbB3f01a1b1C68F3DEB36C55342b5F5706c32fc20, совершив несколько вызовов «Transact». Прежде неизвестные выполнили так называемый «депозит без доказательства» (proofless deposit) в одном из смарт-контрактов Hinkal, чтобы вывести средства.

Для сокрытия происхождения похищенных активов злоумышленники оперативно конвертировали украденные USDC в эфир. Затем внесли 410 ETH на сумму около $700 000 в криптомиксер Tornado Cash, а 44,67 эфиров перевели через децентрализованный мост Thorchain с блокчейна Эфириума в Биткоин. Украденные средства оказались на адресе, начинающемся с bc1qr2sf.

[Numeral]

Из казны BonkDAO вывели токены BONK примерно на $20 млн после принятия вредоносного предложения в системе управления.

По версии проекта, неизвестный участник использовал не уязвимость смарт-контракта, а сам механизм голосования ДАО. Комаднда сообщила, что работает с биржами, мостами, Solana Foundation и правоохранителями, чтобы отследить средства.

На фоне инцидента Kraken и Upbit временно остановили ввод и вывод BONK. За сутки токен потерял 7,7%.

[safar1980]

Хакеры атаковали Summer.fi: из DeFi-протокола похищено $6 млн

Blockaid зафиксировал эксплойт, приведший к выводу около $6 млн с Summer.fi.
SUMR снизился на 5,3% сегодня, тогда как основные криптоактивы торговались в плюсе.
Годовая доходность по пострадавшему хранилищу LVUSDC кратковременно выросла до примерно 2,08 млн%.

В ходе атаки на DeFi-протокол Summer.fi похищено около $6 млн
Blockaid сообщила, что система мониторинга зафиксировала инцидент в понедельник утром. Объем потерь оценивается примерно в $6 млн. В посте указаны ончейн-адреса, связанные с атакой:

Адрес злоумышленника: 0x7BF716167B48CF527725722C6d79494b45B3BDCa
Смарт-контракт эксплойта: 0x0514F827C129C16418a0933E03C99A6AF982FC61
Пострадавшие контракты Summer.fi и Lazy Summer:
0x98C49e13bf99D7CAd8069faa2A370933EC9EcF17
0xA9ca4909700505585B1aD2a1579dA3b670FFA9c4
0xE9cDA459bED6dcfb8AC61CD8cE08E2D52370cB06

[KTChampions]

Из казны BonkDAO вывели токены BONK примерно на $20 млн после принятия вредоносного предложения в системе управления.

По версии проекта, неизвестный участник использовал не уязвимость смарт-контракта, а сам механизм голосования ДАО. Комаднда сообщила, что работает с биржами, мостами, Solana Foundation и правоохранителями, чтобы отследить средства.

На фоне инцидента Kraken и Upbit временно остановили ввод и вывод BONK. За сутки токен потерял 7,7%.

Сучьи имбецилы снова играют в децентрализацию и проигрывают 
Т.е. команда проекта сама утверждает что некто использовал ДАО ровно так как оно затевалось (средства были выведены через голосование), но результат им не понравился поэтому они "работают с биржами, мостами, Solana Foundation и правоохранителями"... чтобы что? Ну т.е. "мы играли в игру в которой сами установили правила, но исход игры нам не понравился, памагите!" 
Эх, не с той стороны Сатоши опасность видел, совсем не с той.

[Numeral]

Крупнейший в экосистеме Hedera лендинговый протокол Bonzo Lend подвергся атаке с ущербом более $9 млн. Согласно предварительному расследованию команды Bonzo Finance, злоумышленник скомпрометировал сторонний ценовой оракул и завысил котировки токена SAUCE в триллион раз. В результате он заимствовал USDC и wHBAR под практически нулевое обеспечение в 250 SAUCE.

Полный отчет об инциденте Bonzo Lend: https://bonzo.finance/blog/bonzo-lend-incident-report-oracle-provider-exploit

[safar1980]

Lumi Finance потеряла 270 тыс. долларов на Arbitrum из-за эксплойта Smart Account
Злоумышленник обошел проверки безопасности в инфраструктуре смарт-контрактов Lumi Finance на Arbitrum, воспользовавшись уязвимостью проверки аккаунта, чтобы слить 270 000 долларов ликвидности, прежде чем разработчики приостановили работу основного хранилища протокола.

Ключевые адреса:

Злоумышленник: 0xce1a3bb0b98d0d90c7dd0620ab86c9a771888d88
Вредоносный контракт на подметание: 0x56362412ae17cac443aafbab4289946ad958e8a1
Следы в блокчейне показывают, что вредоносный контракт получает максимальное количество одобрений (особенно для USD₮0/USDT0), извлекает токены из нескольких смарт-аккаунтов, выполняет свопы (в том числе через Uniswap V3) и пересылает доходы злоумышленнику.

[viljy]

Из казны BonkDAO вывели токены BONK примерно на $20 млн после принятия вредоносного предложения в системе управления.

По версии проекта, неизвестный участник использовал не уязвимость смарт-контракта, а сам механизм голосования ДАО. Комаднда сообщила, что работает с биржами, мостами, Solana Foundation и правоохранителями, чтобы отследить средства.

На фоне инцидента Kraken и Upbit временно остановили ввод и вывод BONK. За сутки токен потерял 7,7%.

Это самый интересный инцидент на фоне остальных банальных взломов. Вот тут подробно: https://rekt.news/ru/bonkdao-rekt
Не понятно только что теперь хотят предъявить - взлома нет, все по протоколу. Коммерческая идея один токен - один голос привела к своему закономерному финалу, с учетом низкого порога для принятия решения (потому что "явка" всегда ничтожная). Таких дырявых DAO оказывается еще куча есть.

[Unsoldier]

Blockaid выявили эксплойт хранилища Ostium Vault в сети Arbitrum.

Эксперты Blockaid зафиксировали аномальную активность в смарт-контракте Ostium PriceUpKeep / отчетах оракула, из-за которой хранилище Ostium Vault выплатило около $18 млн в USDC на подконтрольный злоумышленнику кошелек.

Основная причина взома: подконтрольный атакующему аккаунт был одобрен в качестве зарегистрированного посредника в Ostium PriceUpKeep, а механизм обновления цен принял авторизованные отчеты оракула, датированные будущим числом. Цены в отчетах для одного и того же потока данных были сманипулированы сначала до 5000, а затем до 60000. Это создало искусственную прибыль в логике расчета сделок Ostium.

Источники:
https://x.com/blockaid_/status/2077405527428989363
https://t.me/c/3288061675/144

[safar1980]

Протокол Solana DeFiTuna пострадал от эксплойта на $580 тыс.
Протокол DeFi на платформе Solana потерял 580 000 долларов, и более важная деталь заключается в том, где именно произошла утечка.

16 июля DeFiTuna сообщила, что примерно за семь часов до этого злоумышленник использовал уязвимость в пулах кредитования платформы, похитив 580 000 долларов и оставив пул кредитования USDC на платформе с дефицитом в 580 000 долларов. Команда заявила, что выявила и нейтрализовала вектор атаки, что расследование продолжается, и что она «работает над возвратом средств», дополнительная информация будет предоставлена ​​позже. По меркам сурового 2026 года для Solana, сумма невелика.

[dwyane36]

Похоже, ещё 15 числа мост Teleswap был взломан на более чем $735k. Примечательно, что даже спустя несколько дней после этого инцидента о нем до сих пор не было сделано официального заявления. К слову, ZachXBT также отмечает, что вскоре после взлома горячий BTC-кошелек перестал обрабатывать транзакции, а несколько часов назад хакер перевел средства на торнадо.