- SlowMist заметила необычный трафик от некоторых маркет-мейкеров на 1Inch.
- Эксплойт отправлял поддельные запросы торговым ботам, в результате чего их расчеты направлялись на адрес злоумышленника, а не на контракт расчета 1Inch.
- 1Inch продолжала свою деятельность, несмотря на общее замедление в последние месяцы.
Trusted Volumes, один из маркет-мейкеров на 1Inch, был взломан на сумму $4,5 млн. Агрегатор DEX 1Inch сразу заметил подозрительные оттоки средств, которые затронули лишь ограниченную часть протокола и не привели к блокировке торговли или заморозке для большинства трейдеров.
Маркет-мейкер 1Inch Trusted Volumes пострадал от взлома, в результате которого было выведено $4,5 млн. Несколько более мелких маркет-мейкеров также пострадали, что в сумме составило $0,5 млн.
Точную сумму ущерба было сложно оценить, так как часть средств находилась в форме WETH, цена на который колеблется. Компания SlowMist оценивает общие потери примерно в $5 млн, из которых $2,4 млн составляют USDC. Всего 2M USDC было переведено в одной транзакции, разделенной на два адреса.
Согласно нашему анализу, этот инцидент привел к потере 2,4 млн $USDC и 1276 $WETH, что в сумме составляет более 5 миллионов долларов.
— SlowMist (@SlowMist_Team) марта 7, 2025
SlowMist точно определила 1Inch settlement Контракт, которая стала центром эксплуатации, выведя средства нескольких маркет-мейкеров.
Хакер вывел средства маркет-мейкера через смарт-контракт резолвера
Ончейн-аналитик Чаофан Шоу точно определил проблему со смарт-контрактом резолвера, который взаимодействовал с торговыми ботами маркет-мейкеров. После того как хакер допустил ошибку, исследователи-«белые шляпы» попытались вернуть часть средств, которые хакер по ошибке отправил обратно в 1Inch.
Уязвимость присутствовала только в устаревшей реализации контракта Fusion V1. В настоящее время 1Inch использует пересмотренную версию но сохранила устаревший резолвер для некоторых участников экосистемы. После инцидента компания обратила внимание на свою программу вознаграждений за уязвимости, которая предлагает вознаграждение до $500K за критические уязвимости.
1Inch отметила, что все маркет-мейкеры теперь используют обновленный контракт расчета без уязвимости. Исследователи блокчейна отметили, что злоумышленник использовал возможность подключения к ботам и вывода их средств вместо использования их для расчетов на 1Inch.
Хакер мог подделывать вызовы к маркет-мейкерам и напрямую атаковать их ликвидность. Вызовы к маркет-мейкерам имитировали оригинальный контракт 1Inch и заставляли торговые боты отправлять свои средства злоумышленнику.
Маркет-мейкер 1inch @trustedvolumes был взломан на сумму более $4,5 млн, а несколько более мелких маркет-мейкеров — на $0,5 млн вчера.
Корневая причина заключается в том, что 1inch вызывает функцию resolveOrders контракта маркет-мейкера для получения средств на свой контракт расчета. Большинство ботов проверяли только msg.sender = settlement… https://t.co/CMo6x5S7Vg pic.twitter.com/kSnkP5jpiH
— Чаофан Шоу (@Fried_rice) марта 7, 2025
1Inch обратилась ко всем маркет-мейкерам с контрактами резолвера обновить свои версии, хотя новых движений средств обнаружено не было. Эксплуатация не требует никаких действий от обычных пользователей и не затронула личные кошельки.
Недавняя атака на широко используемый смарт-контракт показывает, что безопасность Web3 все еще является проблемой, даже для ведущих протоколов, таких как 1Inch. Платформа имеет 94.41% рейтинг от Certik и считалась высоко защищенной до недавнего времени.
Несмотря на мониторинг со стороны Certik, не весь код 1Inch был проверен и аудирован. Всего три контракта, или около 39% кода проекта, были верифицированы. Сам 1Inch не является целью, так как протокол только несет $4.35M в эквиваленте.
Агрегатор DEX работает на семи различных блокчейнах, при этом Ethereum остается самым активным. Протокол замедлил генерацию комиссий после недавнего пика в ноябре и декабре 2024 года. После этого протокол продолжил генерировать $170K в виде еженедельных комиссий. Несмотря на сниженную активность, 1Inch остается важным инструментом для трейдеров с небольшими объемами на Ethereum. Протокол сохранил 549K ежемесячных активных пользователям.
1Inch token unaffected after the hack
Токен 1Inch остался в основном unaffected от новостей о взломе, торгуясь примерно по $0,23, близко к своим трехмесячным минимумам. 1Inch следует общей тенденции замедления рынка, с ограниченным спросом даже на токены, связанные с наиболее широко используемыми протоколами.
С начала бычьего рынка 2021 года 1Inch переориентировалась на пользователей с небольшими объемами. Большинство пользователей совершают сделки на сумму менее $1 000, в то время как медианный размер сделки снизился для всех блокчейнов.
1Inch больше не является ареной для китов или ранних последователей, но сохраняет меньшую базовую базу пользователей для свопов с низкой стоимостью, иногда менее $10.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
