Новости криптомира

Сектор DeFi вновь потряс инцидент, связанный с уязвимостью в устаревших смарт-контрактах. На этот раз жертвой стал протокол Thetanuts Finance, из неактивного хранилища которого злоумышленник вывел около $2,1 млн. Однако, в отличие от многих других взломов, финал этой истории оказался неожиданным: белый хакер вернул практически всю сумму.

Суть эксплойта: старая ошибка в делении целых чисел

Первыми тревогу забили специалисты по безопасности из SlowMist. Они установили, что причина инцидента — классическая ошибка в функции minting одного из старых смарт-контрактов. Из-за некорректного деления целых чисел формула расчета депозитов начала выдавать ноль. Это позволило атакующему бесконечно и бесплатно генерировать токены, фактически опустошив пул ликвидности.

По данным аналитиков PeckShield, хакер обменял $105 000 в USDC на примерно 60 ETH. На момент написания анализа в его кошельке всё ещё остаются опционные токены на сумму около $34 000, которые, вероятно, не подлежат немедленной конвертации.

Реакция команды Thetanuts

Команда протокола незамедлительно отреагировала на инцидент, подчеркнув, что взломанный контракт не имеет отношения к их текущим продуктам. Они заявили, что это хранилище было выведено из эксплуатации несколько лет назад, и его уязвимость не угрожает работающей инфраструктуре. Примечательно, что после публичного обращения хакер добровольно вернул украденные средства, что указывает на его «белую» мотивацию — демонстрацию уязвимости, а не личное обогащение.

Мнение эксперта

Этот случай — очередное звено в цепочке атак на «цифровые руины» DeFi. Протоколы часто забывают о старых контрактах, которые продолжают хранить средства, но не обслуживаются. Thetanuts повезло: хакер оказался этичным. Но в реальности такие «забытые» vaults остаются бомбой замедленного действия. Каждому проекту стоит провести полный аудит всех когда-либо развернутых контрактов, особенно тех, что помечены как неактивные. Игнорирование этого правила рано или поздно приведет к необратимым потерям.