Flow подробно разбирает эксплойт на сумму $3.9M в полном отчете об инциденте

Flow опубликовала отчет об инциденте 6 января 2026 года, в котором обсуждаются первопричины своего эксплойта на сумму 3,9 миллиона долларов.

Атакующий exploited уязвимость путаницы типов в среде выполнения Cadence для подделки токенов. Flow заявила, что существующие балансы пользователей не были доступны или скомпрометированы.

Flow определяет уязвимость путаницы типов как первопричину эксплойта

Уязвимость путаницы типов была определена Flow как основная причина. Уязвимость позволила атакующему обойти проверки безопасности среды выполнения, маскируя защищенный актив под обычную структуру данных. Атакующий скоординировал выполнение около 40 вредоносных смарт-контрактов.

Атака началась на высоте блока 137 363 398 26 декабря 2025 года в 23:25 по тихоокеанскому времени. Через несколько минут после первой развертывания началась производство поддельных токенов. Атакующий использовал стандартные структуры данных, которые можно воспроизвести, чтобы замаскировать защищенные активы, которые должны быть невоспроизводимыми. Используя семантику только для перемещения в Cadence, это сделало возможным подделку токенов.

Cadence и полностью эквивалентная EVM среда — это две интегрированные среды программирования, используемые Flow. В данном случае эксплойт был направлен против Cadence.

Сеть отключена в течение шести часов после первоначальной вредоносной транзакции

27 декабря на высоте блока 137 390 190 валидаторы Flow начали скоординированную паузу сети в 05:23 по тихоокеанскому времени. Все пути отступления были отрезаны, и остановка произошла менее чем через шесть часов после первоначальной вредоносной транзакции.

Поддельные FLOW перемещались на депозитные счета централизованных бирж к 23:42 по тихоокеанскому времени 26 декабря. Из-за их размера и нерегулярности большинство крупных переводов FLOW на биржи были заморожены при поступлении. Начиная с 00:06 по тихоокеанскому времени 27 декабря, несколько активов были переведены вне сети с использованием Celer, deBridge и Stargate.

В 01:30 по тихоокеанскому времени были подняты первые сигналы обнаружения. На этом этапе депозиты на биржах были сопоставлены с аномальными движениями FLOW между виртуальными машинами. По мере того как поддельные FLOW ликвидировались, начиная с 1:00 по тихоокеанскому времени, централизованные биржи столкнулись со значительным давлением продаж.

Биржи возвращают 484 миллионов поддельных токенов FLOW

Согласно данным Flow, атакующий внес 1,094 миллиарда поддельных FLOW на несколько централизованных бирж. Партнеры-биржи Gate.io, MEXC и OKX вернули 484 434 923 FLOW, которые были уничтожены. 98,7% оставшегося объема поддельных токенов изолировано в блокчейне и находится в процессе уничтожения. Полное разрешение ситуации ожидается в течение 30 дней, координация с другими партнерами-биржами продолжается.

После того как сообщество оценило несколько вариантов восстановления, включая восстановление по чекпоинту, была выбрана стратегия восстановления. Flow провела общесистемные консультации с партнерами по инфраструктуре, операторами мостов и биржами.

Эксплойт Flow на сумму 3,9 миллиона долларов произошел в рамках аналогичной модели инцидентов безопасности, затронувших криптопротоколы в конце декабря 2025 года и начале января 2026 года. 1 января 2026 года BtcTurk пострадал от взлома хот-кошелька на сумму 48 миллионов долларов. Хакеры скомпрометировали инфраструктуру хот-кошелька централизованной биржи и вывели средства через Ethereum, Arbitrum, Polygon и другие сети.

1 января Binance столкнулась с инцидентом манипуляции счетом маркет-мейкера, связанным с токеном BROCCOLI.