Взлом Lien Finance: протокол втратив 542 000 доларів через баг

Крупний взлом Lien Finance: уразливість смарт-контракту призвела до втрати пів мільйона доларів

Децентралізована фінансова екосистема зіткнулася з черговим серйозним інцидентом у сфері кібербезпеки, який завдав відчутних економічних збитків інвесторам. Популярний DeFi-протокол Lien Finance зазнав ретельно спланованої хакерської атаки, внаслідок якої з пулів ліквідності було безповоротно виведено близько 542 000 доларів у стейблкоїнах USDC. Експерти в галузі безпеки блокчейну зафіксували, що першопричиною інциденту стала критична помилка в математичній логіці обміну облігаційних токенів проєкту. Зловмисник зумів своєчасно виявити це уразливе місце в кодовій базі та негайно скористався ним для генерації фіктивних, абсолютно нічим не забезпечених цифрових активів, що в кінцевому підсумку призвело до миттєвого виснаження внутрішніх резервів ліквідності децентралізованої платформи.

За попередніми оцінками незалежних аналітиків, зафіксований взлом Lien Finance наочно продемонстрував системні проблеми з аудитом безпеки в секторі автоматичних маркетмейкерів. Провівши детальне дослідження смарт-контрактів, фахівці виявили, че архітектурна уразливість дозволяла будь-якому сторонньому користувачеві випускати нові похідні токени в обхід стандартних процедур забезпечення. Найбільш небезпечним аспектом експлойту виявилося те, що система дозволяла безперешкодно обмінювати ці щойно створені «порожні» монети на реальну ринкову ліквідність без необхідності знищення початкових боргових токенів. Команда розробників виявилася не готовою до подібного сценарію, через що зловмисник діяв безперешкодно протягом кількох годин, методично спустошуючи пули.

Анатомія атаки: як баг у коді допог хакеру викрасти USDC

Технічні фахівці одразу кількох провідних компаній з безпеки оперативно підключилися до розслідування інциденту, щоб відновити детальну хронологію дій кіберзлочинця. Відома компанія SlowMist, що спеціалізується на детальному аудиті блокчейн-систем, опублікувала докладний звіт, згідно з яким основна атака була холоднокровно спрямована на внутрішній механізм конвертації сурогатних облігацій. Хакер виявив уразливу функцію під назвою exchangeEquivalentBonds, жорстко прописану в основному смарт-контракті BondMakerCollateralizedEth. За допомогою цієї команди він генерував нові боргові зобов'язання платформи, повністю ігноруючи базову вимогу системи про деструкцію початкових токенів, що дозволило йому запустити нескінченний цикл створення фіктивного капіталу.

Технічні деталі експлойту смарт-контрактів від експертів SlowMist

У ході детального розбору транзакцій аналітики SlowMist дійшли однозначного висновку, що цей резонансний баг проявився через банальну відсутність належної валідації. Розробники протоколу не передбачили сувору перевірку вхідних груп облігацій безпосередньо під час проведення обмінних операцій на платформі. В результаті хакерський гаманець з ідентифікованою адресою 0x0d7d…1808a успішно вивів з балансу контрактів рівно 542 144,63 долара в еквіваленті стабільної монети USDC. Відсутність автоматичних обмежень на обсяг одномоментних транзакцій дозволила злочинцеві конвертувати весь обсяг згенерованих «токенів-пустушок» у легальні стейблкоїни та оперативно розподілити отримані кошти по сторонніх міксерах для замітання слідів.

Масштаб фінансової бреші міг виявитися значно більшим, якби не пильність автоматичних систем ончейн-моніторингу, які зафіксували аномальні транзакції. Однак до моменту часткового блокування контрактів основна частина коштів уже залишила контрольовану протоколом зону, залишивши постачальників ліквідності зі знеціненими борговими розписками. Представники SlowMist особливо підкреслили, що подібні уразливості виникають тоді, коли складні фінансові інструменти впроваджуються в основну мережу без попереднього багатоетапного тестування в тестових мережах. На даний момент скомпрометована адреса хакера внесена до всіх публічних чорних списків, проте шанси на добровільне повернення викрадених активів залишаються вкрай невисокими.

Глибокі уразливості архітектури та їхні руйнівні наслідки для DeFi

Паралельне незалежне розслідування від аналітичного агентства DefimonAlerts розкрило ще більш тривожні подробиці щодо внутрішнього устрою архітектури Lien Finance. Ончейн-аналіз наочно показав, що успішна хакерська атака стала можливою завдяки критичним недолікам, безпосередньо пов'язаним із процесами несанкціонованої реєстрації та хаотичного ціноутворення боргових зобов'язань. Архітектура смарт-контракту дозволяла проводити ці дії без отримання попереднього дозволу від адміністраторів мережі або довірених оракулів. Зловмисник віртуозно скористався цим архітектурним недопрацюванням, створивши кастомні шкідливі облігації, всередині яких була заздалегідь прописана прихована функція несанкціонованого виведення активів.

Шкідливі пули та компрометація GeneralizedDotc

Після успішного створення шкідливої партії токенів через базовий контракт BondMakerCollateralizedEth, злочинець перенаправив ці боргові розписки у позабіржові торговельні пули платформи. Система сприйняла їх як легітимні інструменти та схвалила автоматичну заміну фіктивних даних на реальне забезпечення в доларах. Як зазначають експерти DefimonAlerts, цей підступний взлом миттєво паралізував роботу одразу кількох ключових смарт-контрактів екосистеми. До найбільш постраждалих вузлів увійшов критично важливий контракт GeneralizedDotc, що відповідає за проведення децентралізованих позабіржових угод. Робота цього модуля була повністю зупинена через порушення балансу ліквідності та спотворення цінових фідів.

Руйнівний ефект від експлойту торкнувся не лише внутрішньої економіки Lien Finance, а й завдав репутаційного удару по пов'язаних партнерських DeFi-проєктах. Позабіржові пули, які забезпечували стабільний обмін токенів, виявилися заповнені неліквідними борговими зобов'язаннями, які неможливо конвертувати назад. Користувачі, чиї кошти були заблоковані в GeneralizedDotc, тимчасово втратили доступ до управління своїми позиціями. Адміністрація проєкту була змушена екстрено перевести платформу в режим технічного обслуговування для ручної перевірки всіх смарт-контрактів, що залишилися. Ця подія вкотре підтвердила небезпеку використання неверифікованих механізмів ціноутворення в смарт-контрактах.

Польза для читачів: як інвесторам захистити свої гроші при взломах

Головний практичний урок із цього інциденту полягає в тому, що інвестори повинні регулярно диверсифікувати свої кошти та використовувати комплексні захисні стратегії. Якщо ви зберігаєте капітал у маловідомих DeFi-протоколах, новина про те, що стався серйозний взлом, має слугувати сигналом до негайного аудиту власних інвестицій. Насамперед перевірте, чи взаємодіяли ваші гаманці зі скомпрометованими контрактами Lien Finance або GeneralizedDotc. Якщо у вас є активні схвалення (allowances) для цих адрес, негайно відкличте їх за допомогою спеціалізованих сервісів на кшталт Revoke.cash. Це заблокує хакерам доступ до вашого особистого гаманця, навіть якщо вони повністю захоплять контроль над кодовою базою постраждалого проєкту.

Для мінімізації ризиків у майбутньому завжди звертайте увагу на історію аудиту смарт-контрактів платформи перед відправленням туди своїх заощаджень. Наявність перевірок від таких авторитетних компаній, як SlowMist, значно знижує ймовірність того, що в коді залишиться критичний баг, проте не гарантує стовідсоткову безпеку. Інвесторам рекомендується виділяти на високодохідні, але ризиковані DeFi-інструменти не більше 5-10% від загального інвестиційного портфеля. Також корисним інструментом є оформлення децентралізованої страховки на випадок експлойту смарт-контракту через спеціалізовані платформи взаємного страхування, що дозволить повністю або частково компенсувати збитки в разі непередбаченої хакерської атаки.