Кошмар Moonwell в $1М: Сбой оракула Chainlink вызвал хаос в DeFi! 💥💸

от

Основные выводы

Что вызвало взлом Moonwell?

В неудачном стечении обстоятельств (или, возможно, чистой комедии), цена оракула Chainlink решила проявить творческий подход, оценив жалкие 0.02 wrstETH примерно в ту же сумму, что и чашка кофе в вашем местном кафе — в миллионы. Конечно, предприимчивый хакер не мог упустить эту золотую возможность, украв средства, прежде чем протокол заметил, что происходит.

🧐

Купил акции по совету друга? А друг уже продал. Здесь мы учимся думать своей головой и читать отчётность, а не слушать советы.

Прочитать отчет 10-K

Как это соотносится с другими недавними взломами DeFi?

Это как дежавю, но хуже. Всего через 24 часа после взлома Balancer на $128 миллионов, Moonwell становится последней жертвой нескончающейся саги о катастрофах DeFi, знаменуя собой четвёртый взлом всего за три года. Говорите о повторяющемся кошмаре!

DeFi начал месяц с грохотом – не самым удачным. Всего за 48 часов $129 миллионов исчезли из двух крупных протоколов, доказывая, что даже в мире децентрализованных финансов всё ещё действует принцип «покупатель, берегись».

4 ноября сбой оракула Chainlink позволил осуществить эксплойт на $1 миллион на Moonwell. Это произошло сразу после кражи на $128 миллионов на Balancer 3 ноября, затронувшей шесть различных блокчейнов. Кто говорит, что плохое не происходит парами?

Эксплойт оракула Chainlink

Итак, что произошло? В повороте, достойном фильма об ограблении, злоумышленник воспользовался протоколом кредитования Moonwell на Base. Вооружившись «сложной» манипуляцией оракулом (читайте: некоторыми нечестными махинациями), хакер взял в долг крошечную сумму в 0.02 wrstETH, практически равную мелочи, и внес её в качестве залога.

Но вот где сюжет усложняется. Оракул Chainlink ушел в отпуск — ну, по крайней мере, он дал сбой — оценив этот крошечный залог в ошеломляющие $5.8 миллиона. Протокол, ничего не подозревая, клюнул на приманку.

Нападающий, теперь чувствующий себя в безопасности, взял в долг более 20 wstETH под эту завышенную оценку. Легкие деньги, не так ли?

И точно так же, повторить! Злоумышленник приступил к работе, выполнив эксплойт семь раз за три часа, каждый раз унося с собой около 24.5-24.9 ETH. Всего за несколько часов они накопили целых 292 ETH (около $1.01 миллиона). Разве это не прибыльный полдень!

Уязвимость была обнаружена CertiK, которые подтвердили ошибку ценообразования оракула как причину. Инцидент служит напоминанием о том, насколько рискованной может быть DeFi-инфраструктура. Иронично, но основная сеть оракулов Chainlink не была взломана – просто однажды она решила работать некорректно.

TVL падает, токен стремительно снижается.

Согласно DefiLlama (да, это настоящее название), общая заблокированная стоимость (TVL) Moonwell стремительно упала с 268 миллионов долларов до скромных 213 миллионов долларов в мгновение ока. Это отток в 55 миллионов долларов быстрее, чем вы успеете сказать: «Я возьму то же, что и у хакера».

И на этом не закончилось! Токен WELL резко упал в цене, снизившись более чем на 12% и торгуясь примерно по $0.012. Тем временем, более широкий рынок криптовалют также немного пострадал, потеряв более 1%. О, как пали могучие.

Тревожная закономерность

Итак, это не первый раз, когда Moonwell оказывается по другую сторону взлома. Это уже четвёртый крупный инцидент с безопасностью всего за три года. Поговорим о закономерности. В декабре 2024 года Moonwell потерял $320,000 в результате эксплойта с флэш-займом, а затем, всего в прошлом месяце, он понес убытки в размере $1.7 миллиона из-за очередного сбоя оракула. И теперь, в начале ноября, он потерял $1 миллион — всего через 24 дня после последнего взлома.

Но подождите, становится еще интереснее. В феврале 2025 года Moonwell удалил свою программу вознаграждений за обнаружение уязвимостей Immunefi. Кажется, лучшее время для прекращения оплаты исследователям в области безопасности было непосредственно перед двумя эксплойтами на общую сумму 2,7 миллиона долларов. Блестящая стратегия, не так ли?

Без этих программ вознаграждения за обнаружение ошибок не было стимула для этичных хакеров находить уязвимости до того, как это сделают злоумышленники. Кому нужна защита, когда можно просто жить на грани, а?

Неделя DeFi: $129 млн

Взлом Moonwell был не единственным событием, попавшим в заголовки новостей на этой неделе бедствий в DeFi. 3 ноября Balancer стал жертвой атаки, в результате которой было выведено поразительные $128 миллионов. И это был не один блокчейн — нет, нет, хакеры атаковали шесть различных блокчейнов, включая Ethereum, Arbitrum, Base, Optimism, Polygon и Sonic. Говорят, забросили широкую сеть!

В общей сложности, два взлома привели к убыткам на сумму более 129 миллионов долларов. В то время как неудача Balancer была вызвана неисправными настройками контроля доступа, проблема Moonwell заключалась в сбое оракула. Это как выбирать, чем тебя отравить, но в любом случае, это тяжелая неделя для DeFi.

Что стало ясно из бедствий этой недели, так это то, что даже самые устоявшиеся протоколы подвержены атакам, особенно когда в их инфраструктуре есть слабые места. Просто помните, друзья: в DeFi не вопрос, взломают ли вас – вопрос, когда. 😬

Смотрите также

2025-11-04 19:53