Futureswap на базе Arbitrum теряет $400K в результате предполагаемого взлома

Децентрализованная платформа для торговли с кредитным плечом на Arbitrum, Futureswap, по сообщениям, потеряла около $395 000 в результате предполагаемого эксплойта, согласно компании по безопасности блокчейна BlockSec, что продлевает нежелательную череду жертв DeFi на базе Arbitrum в начале 2026 года. 

Инцидент является последним взломом, затронувшим протокол DeFi в сети Arbitrum в 2026 году, при этом прошло всего десять дней года.

Новости появились впервые, когда Phalcon, платформа обнаружения угроз BlockSec сообщила в X, что обнаружила подозрительные транзакции, направленные на контракт Futureswap.

Компания по безопасности заявила, что пыталась связаться с командой, но не получила ответа на момент публикации. Для контекста: последний пост в аккаунте проекта в X был сделан в 2022 году.

Согласно Phalcon, «похоже, что злоумышленник опустошил средства через несколько операций changePosition, в конечном итоге выведя большую сумму USDC».

Также было добавлено: «Поскольку контракт не является открытым исходным кодом, точная первопричина все еще требует дальнейшего расследования».

ВНИМАНИЕ! Наша система обнаружила подозрительную транзакцию, направленную на контракт @futureswapx на #Arbitrum несколько часов назад, что привело к предполагаемым потерям в размере ~$395K. Мы попытались связаться с командой, но до сих пор не получили ответа.

Похоже, что злоумышленник опустошил… pic.twitter.com/SD5CUCfA8h

— BlockSec Phalcon (@Phalcon_xyz) января 10, 2026

Как был взломан Futureswap?

BlockSec проанализировал поведение в блокчейне и заявил, что подозревает, что «инцидент может быть связан с неожиданными изменениями в учете stableBalance во время более ранних обновлений позиций, что позже позволило выпустить USDC при снятии залога».

Несколько дней ранее, 5 января, Cryptopolitan сообщал, что два проекта на Arbitrum потеряли $1,5 млн в результате атак на доступ к смарт-контрактам. USD Gambit и TLP, оба запущенные одним и тем же разработчиком, пострадали от несанкционированных выводов после того, как злоумышленник получил административный доступ и заменил смарт-контракты вредоносными версиями.

Согласно компании по безопасности блокчейна Cyvers Alert, предварительный анализ показывает, что единственный разработчик мог потерять доступ к своему аккаунту. «Злоумышленник затем развернул новый контракт и обновил привилегии ProxyAdmin, чтобы получить контроль», — stated Cyvers Alert.

Украденные средства были позже переведены в сеть Ethereum и депонированы в Tornado Cash.

Нацелены ли хакеры на Arbitrum?

Имя Arbitrum часто упоминалось в отчетах о взломах DeFi в 2026 году. В начале января TMX Tribe пострадала от эксплойта на $1,4 млн, в то время как хранилище IPOR Fusion USDC потеряло $336 000 из-за уязвимости в устаревшем контракте, хотя DAO пообещала полную компенсацию пользователям.

Исследователи безопасности отметили, что недавние атаки следуют схожему шаблону, который связан с хакерами, спонсируемыми государством Северной Кореи, которые преимущественно используют Tornado Cash для отмывания средств. Атакующие научились быстро перемещать и смешивать украденные средства почти сразу, чтобы избежать внесения адресов в черный список.

Эти взломы обычно нацелены на экосистемы с высокой ликвидностью, поскольку таким образом эксплойтеры максимизируют свои шансы на крупные добычи. Согласно Defillama, Arbitrum удерживает более $3 млрд в протоколах DeFi на платформе, и с момента запуска в 2021 году он никогда не отставал от первого места среди L2 Ethereum по объему заблокированных средств (TVL).

Еще одной общей темой среди недавних взломов является то, что они обычно нацелены на старые смарт-контракты, которые все еще удерживают ликвидность.

В июле 2025 года Cryptopolitan сообщал, что Фонд Arbitrum выделил $14 млн через Программу аудита Arbitrum для поддержки нативных проектов путем субсидирования аудита их смарт-контрактов.

Добыча от эксплойта быстро перенаправляется через миксеры

Четвертый квартал 2025 года увидел всплеск депозитов в Tornado Cash, при этом миксер теперь удерживает рекордную заблокированную стоимость как от новых взломов, так и от старых эксплойтов. Платформа содержит более 338 000 ETH, что больше, чем ее пик 2021 года. Миксеры, такие как Railgun, также испытали рост активности в конце 2025 года.

Атаки в основном нацелены на относительно неизвестные проекты, согласно наблюдениям аналитиков. USD Gambit, например, указывает на то, что единственный обмен будет выведен из эксплуатации в ближайшие недели. Несмотря на запуск в 2023 году, проект не воспользовался восстановлением DeFi и торговли бессрочными фьючерсами, что сделало его более легкой мишенью с меньшим контролем безопасности.