GANA Payment теряет более $3.1M в результате эксплуатации уязвимости

Децентрализованный платежный проект на Binance Smart Chain (BSC) под названием GANA Payment был взломан около 5:00 UTC в четверг, что привело к потерям, превышающим 3,1 млн долларов, согласно данным исследователя блокчейна ZachXBT. 

Выводы крипто-детектива показали, что злоумышленник использовал уязвимость в смарт-контракте проекта для кражи токенов. Затем они были перемещены через Tornado Cash и другие сети для организации отмывания денег.

«Контракт взаимодействия GANA подвергся внешней атаке, что привело к несанкционированному хищению активов… Мы продолжим предоставлять обновления о ходе расследования и последующих действиях через официальные каналы», — написала платформа DeFi в X ранее сегодня.

Несколько платформ кибербезопасности в X, включая OnChain Lens, сообщили, что эксплуатация уязвимости началась, когда злоумышленник перевел 1140 BNB, оцененных примерно в 1,04 млн долларов, в Tornado Cash в сети BSC. 

Похищенные активы были впоследствии переведены в Ethereum, где еще 346 ETH, стоимостью 1,05 млн долларов, были депонированы в крипто-миксер, предположительно для отмывания.

Записи блокчейна, предоставленные ZachXBT, показывают, что адрес Ethereum, использованный для отмывания, был 0x7a503e3ab9433ebf13afb4f7f1793c25733b3cca. Оригинальные адреса кражи в BSC были идентифицированы как 0x2e8a…aae5c38 и 0xd10e…cc8fa4d.

Хакер эксплуатировал «функцию unstake» GANA для кражи монет

Согласно веб3-компании по безопасности HashDit, владение взломанным контрактом было изменено, что хакер использовал для манипулирования ставками вознаграждения и вызова функции unstake, получая больше токенов GANA, чем предполагалось. 

🚨Alert HashDit🚨

HashDit зафиксировал, что @GANA_PayFi был скомпрометирован на сумму ~3,1 млн $GANA.

Пользователям НЕ следует торговать токеном $GANA в настоящее время и следует ожидать объявления команды!

Средства были переведены в TC: https://t.co/rtdjnMvYpI

Первопричина: Владение… pic.twitter.com/XZzuoMmf8D

— HashDit | now with Pro Extension (@HashDit) 20 ноября 2025 г.

Затем преступник быстро продал токены на децентрализованных биржах, значительно обесценив валюту проекта. Общая сумма в 346 ETH, хранившаяся в адресе Ethereum, оставалась бездействующей в течение нескольких часов. 

Однако, начиная с часа назад, хакер возобновил отмывание средств через Tornado Cash инкрементальными партиями по 1 ETH, 10 ETH и 100 ETH, метод, используемый ворами во время атак на DeFi для «сброса» следа исследователей безопасности по похищенным средствам.

GANA Payment — относительно небольшой платежный токен-проект, построенный вокруг токена BEP-20 GANA. Его операции децентрализованы и используют пулы ликвидности и биржи, но Cryptopolitan не нашел никакой общедоступной технической документации. 

Проект, запущенный в начале ноября, до сих пор не опубликовал официальные аудиты или подробные анализы безопасности. После взлома данные GeckoTerminal показали, что стоимость токена GANA упала более чем на 90%.

Эксплуатация уязвимостей в DeFi на BSC и Ethereum замедлилась в октябре

Согласно трекеру взломов DefiLlama, более мелкие проекты на базе BSC коллективно потеряли более 100 млн долларов только в 2025 году. Взлом GANA увеличил эту сумму почти до 10 млн долларов за последние два месяца, включая нарушения безопасности в OlaXBT, Evoq Finance, Seedify и GriffinAI.

Cryptopolitan сообщал в октябре общие потери от взломов составили всего 18,18 млн долларов примерно в 15 инцидентах, что на 85,7% меньше, чем 127,06 млн долларов в сентябре. Крупные инциденты, произошедшие в течение месяца, включали взломы Garden Finance, Typus Finance и Abracadabra, которые вместе составили 16,2 млн долларов похищенных средств. 

Abracadabra, децентрализованный кредитный протокол и создатель стейблкоина Magic Internet Money (MIM), понес убытки в размере 1,8 млн долларов, когда злоумышленники использовали недостатки в том, как контракт обрабатывал действия в рамках одной транзакции. 

Typus Finance потерял 3,4 млн долларов из-за слабостей в управлении доступом в своем пользовательском ценовом оракуле, в то время как Garden Finance понес убытки в размере 11 млн долларов через одного решателя, подключенного к нескольким блокчейн-сетям.

В этом месяце, Balancer был достигла одним из крупнейших взломов DeFi в 2025 году, где завернутый ETH и другие активы из нескольких сетей были обмануты в течение нескольких часов. Исследователи блокчейна оценили убытки примерно в 70 млн долларов, но когда разработчики сети вернули контроль, потери превысили 116 млн долларов. 

На следующий день многоцепочечный кредитный протокол Moonwell был эксплуатировали через ошибочные данные оракула, потеряв около 1 млн долларов. Атакующий воспользовался ценовыми расхождениями для заимствования и торговли определенными завернутыми активами ETH, присвоив 295 ETH.

Согласно DefiLlama данных, взломы кросс-чейн мостов в 2025 году привели к краже более 1,5 млрд долларов к середине 2025 года, в то время как уязвимости повторного входа (reentrancy) составили 325 млн долларов убытков, особенно из старых или форкнутых контрактов. Манипуляции с оракулами составили 13% атак, а опустошение пулов ликвидности привело к краже активов на сумму 103 млн долларов.