Неизвестный смарт-контракт в сети BSC подвергся атаке манипулирования ценой, убытки составили около 133 000 долларов США.

В этом инциденте манипулирования ценой в сети BSC, злоумышленник точно использовал распространенный дефект в дизайне DeFi: смарт-контракт чрезмерно зависел от мгновенной спотовой цены из одного пула ликвидности в качестве основного источника данных для ключевых экономических вычислений. В частности, этот смарт-контракт стейкинга напрямую использовал цену TUR в пуле TUR-NOBEL для расчета вознаграждений, не вводя никаких механизмов проверки или задержки цены. Это позволило злоумышленнику мгновенно манипулировать ценой токенов в пуле с помощью флэш-займов или других методов, искусственно повышая цену TUR, а затем немедленно совершать операции по стейкингу. Расчет вознаграждений основывался на завышенной цене, что привело к ошибочной выдаче чрезмерных вознаграждений системой. Злоумышленник затем выводил вознаграждения через несколько рекомендованных аккаунтов, быстро истощая ликвидность контракта и конвертируя ее в стейблкоины для получения прибыли.

Эта схема атаки не является уникальной, и она вновь подчеркивает уязвимость протоколов DeFi в проектировании оракулов цен. Многие проекты, стремясь к удобству и низкой задержке, напрямую используют мгновенные цены с DEX, а не вводят надежные оракулы с взвешенными во времени или агрегированными данными из нескольких источников (например, Chainlink). Особенно на высокопроизводительных сетях, таких как BSC, низкие затраты на транзакции и быстрая генерация блоков делают стоимость манипулирования ценами крайне низкой, а скорость выполнения очень высокой, при этом окно для атаки очень короткое, но достаточно опасное.

Согласно сообщениям в различных источниках, подобные инциденты безопасности продолжают происходить в отрасли. Как экстренное отключение токенов Hyperliquid, так и подозрительная атака на OKX DEX, показывают, что манипулирование ликвидностью и уязвимости смарт-контрактов являются серьезными проблемами, с которыми сталкиваются как CeFi, так и DeFi. Такие проекты, как pSTAKE (проект стейкинга с использованием ликвидности) и THORChain (межсетевой протокол), уже подвергались серьезным последствиям из-за подобных дефектов в дизайне. Все эти инциденты указывают на одну ключевую проблему: многие проекты, стремясь к инновациям и эффективности, идут на компромиссы в архитектуре безопасности, особенно в отношении стресс-тестирования экономических моделей в экстремальных условиях.

Как профессионал, я считаю, что для защиты от подобных атак необходим многоуровневый подход: во-первых, смарт-контракты должны использовать устойчивые к манипуляциям оракулы цен, например, TWAP (средневзвешенная цена по времени) или, как минимум, вводить проверку цен из нескольких пулов; во-вторых, ключевые экономические операции должны включать механизмы временной блокировки или задержки, чтобы предотвратить мгновенные манипуляции; в-третьих, проекты должны проходить более строгие аудиты безопасности, особенно стресс-тестирование экономических моделей. Кроме того, важны системы мониторинга и реагирования, такие как инструменты мониторинга в реальном времени, предоставляемые, например, BlockSec Phalcon, которые могут быстро предупреждать об аномальных транзакциях и даже предлагать варианты блокировки.

Хотя убытки в этом инциденте были относительно небольшими, он типично демонстрирует общие слабые места инфраструктуры DeFi. В процессе перехода отрасли к более широкому применению, безопасность перестает быть опциональной и становится фундаментальным элементом, встроенным в дизайн продукта. Каждый инцидент является предупреждением, которое подталкивает всю экосистему к более зрелому развитию в области кода, экономических моделей и контроля рисков.