- По словам специалистов по кибербезопасности, атака на Thetanuts была вызвана уязвимостью в логике выкупа средств из вилта.
- Сообщается, что большая часть украденных средств была возвращена благодаря усилиям белых хакеров, тогда как лишь меньшая часть была обменена атакующим на ETH.
- Thetanuts заявляет, что её текущие продукты и смарт-контракты не пострадали от эксплуатации уязвимости.
Протокол DeFi-опционов Thetanuts Finance подтвердил, что стал жертвой эксплуатации, в результате которой из связанного с ним устаревшего свода было выведено 2,1 миллиона долларов.
Согласно Thetanuts, скомпрометированный контракт был устаревшим (deprecated) еще несколько лет назад.
Компания по безопасности блокчейна PeckShieldAlert, который отметил инцидент до подтверждения эксплуатации Thetanuts, сообщил, что, похоже, 2 миллиона долларов в опционных токенах были восстановлены благодаря усилиям белых хакеров.
Оставшиеся средства, около 105 000 долларов в USDC, были обменены злоумышленником примерно на 60 ETH, согласно ончейн-анализу PeckShieldAlert. Атакующий также владеет опционными токенами на сумму 34 000 долларов в эквиваленте USDC.
Что привело к эксплуатации устаревшего свода Thetanuts Finance?
Уязвимость в логике выкупа свода является корневой причиной эксплуатации, согласно исследователю безопасности ExVul, который опубликовал подробный разбор в X.
Thetanuts Finance отреагировала в течение нескольких часов, написав в X, «Наше предварительное расследование показывает, что это снова устаревший свод, от которого мы мигрировали несколько лет назад».
Протокол заявил: «Это не имеет никакого отношения к нашим текущим контрактам или продуктам», добавив, что опубликует полный постмортем, как только соберет больше деталей.
Система обнаружения эксплойтов Blockaid также самостоятельно зафиксировала атаку, выпустив предупреждение для сообщества о факте активной эксплуатации контракта Thetanuts в сети Ethereum. Платформа безопасности также поделилась адресом атакующего и адресом скомпрометированного контракта.
Атакуют ли устаревшие протоколы?
Инцидент с Thetanuts добавляется к растущему списку устаревших протоколов, которые недавно подвергались атакам.
Самым последним, помимо Thetanuts, является Aztec Connect, мост конфиденциальности, заброшенный с 2023 года, который потерял 2,1 миллиона долларов из-за отдельной уязвимости в проверке в своих неизменяемых смарт-контрактах, как сообщало Cryptopolitan. В этом случае команда отказалась от всех административных ключей, оставив никого, кто мог бы исправить или приостановить код.
На данный момент в июне общая сумма, украденная в результате эксплойтов DeFi, превысила 46 миллионов долларов, и это только середина месяца. При таком темпе она может сравняться или превысить май, который также увидел свою долю нарушений протоколов.
Thetanuts попыталась успокоить пользователей своих текущих контрактов, заверив их, что они не находятся в опасности; однако последние события ясно дали понять пользователям, что заброшенный код — это небезопасный код, а также средства, связанные с ним.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Часто задаваемые вопросы
Что произошло при эксплуатации уязвимости в Thetanuts Finance?
Атакующий использовал ошибку в математике выкупа в устаревшем вилте Thetanuts Finance на Ethereum, выведя около 2,1 млн долларов США 15 июня 2026 года. PeckShield сообщила, что белый хакер вернул примерно 2 млн долларов в опционных токенах, а злоумышленник обменял около 105 000 долларов USDC примерно на 60 ETH.
Пострадали ли текущие пользователи Thetanuts Finance?
Нет. Thetanuts Finance заявила, что эксплуатируемый вилт был устаревшим уже несколько лет и «не имеет никакого отношения к нашим текущим контрактам или продуктам», согласно сообщению команды в X.
Какая именно уязвимость позволила провести атаку?
Исследователь безопасности ExVul выявил, что корневая причина заключалась в ошибке математики выкупа в устаревшем хранилище, которая использовала формулу `backing * amount / totalSupply` для расчёта выплат по акциям, что позволило злоумышленнику вывести больше средств, чем ему причиталось.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ханна Коллимор
Ханна — писатель и редактор с почти десятилетним опытом ведения блогов и освещения мероприятий в криптоиндустрии. В Cryptopolitan Ханна работает над новостной страницей, освещая и анализируя последние события в сферах DeFi, RWA, криптовалютного регулирования, искусственного интеллекта и передовых технологий. Она окончила Университет Аркадии со степенью бакалавра делового администрирования.
