Makina подвергся эксплойту на сумму 4,13 миллиона долларов, пул CurveStable DUSD/USDC опустошен

Makina, протокол децентрализованных финансов с автоматическим исполнением, подвергся эксплойту рано утром во вторник, в результате которого был опустошен пул ликвидности DUSD/USDC на Curve, согласно данным компании по безопасности блокчейна PeckShield. 

По сообщениям, Makina Finance потеряла около 1299 Ether из своего пула стейблкоинов Curve хакерам. На тот момент его стоимость составляла около 4,13 миллиона долларов. Согласно анализу Peckshield, злоумышленники взломали неконтролируемых поставщиков ликвидности протокола в пуле CurveStable DUSD/USDC, который использует оракул ончейн-данных ценообразования. 

Оракулы предоставляют смарт-контрактам внешнюю информацию, такую как цены на активы, которую хакеры использовали в середине транзакции и вывели токены по искусственно выгодному курсу.

Хакер Makina использовал флеш-кредиты, чтобы выхватить $5 миллионов

Согласно сообщению инженера по безопасности в CertiK, злоумышленник начал с заимствования 280 миллионов USDC без предварительного залога, при условии, что средства будут возвращены в той же транзакции.

Из заимствованной суммы около 170 миллионов USDC было использовано для вмешательства в MachineShareOracle, который отвечает за отчетность о ценах на акции для пула. После внесения капитала, заимствованного через флеш-кредит, они смогли временно исказить данные оценок оракула и обмануть его, заставив довериться неточной информации о ценах.

🚨 Еще один эксплойт сегодня (4.1M):

Флеш-кредит + обновление AUM без разрешений — опасное сочетание.

Оракул цен на акции был обновлен в середине транзакции, позволив пулу Curve выплачивать по завышенной ставке. Из пула DUSD/USDC вышло ~5,1 млн USDC, злоумышленник получил прибыль около 4,1 млн. pic.twitter.com/t4RKYoUWDl

— n0b0dy (@nn0b0dyyy) January 20, 2026

Когда оракул начал сообщать о завышенных значениях, злоумышленник обменял примерно 110 миллионов USDC на пул, в котором было всего около 5 миллионов долларов ликвидности. Поскольку пул считал, что активы стоят больше, чем они есть на самом деле, он выплатил гораздо больше, чем должен был, и опустошил себя. 

«Оракул цен на акции был обновлен в середине транзакции, позволив пулу Curve выплачивать по завышенной ставке. Из пула DUSD/USDC вышло ~5,1 млн USDC, злоумышленник получил прибыль около 4,1 млн», — сказал инженер по безопасности.

Makina Finance был запущен в феврале прошлого года, позиционируя себя как институциональный движок исполнения DeFi. Согласно данным DeFiLlama, протокол удерживает примерно 100,49 миллиона долларов общей заблокированной стоимости. 

MEV-билдер сократил цифры эксплойта Makina на $800k

Хакер взял доходы DUSD и обменял их на ether, выполнив несколько транзакций для консолидации и перераспределения активов. Однако, согласно CertiK, транзакция эксплойта была частично опережена MEV билдером. 

Максимально извлекаемая ценность — это прибыль, которую могут максимизировать как билдеры блоков, так и валидаторы, путем переупорядочивания, внедрения и цензурирования транзакций до их обработки в блокчейне. В данном случае сущность MEV, идентифицированная по префиксу адреса 0xa6c2, собрала большую часть ценности по мере развития эксплойта. 

CertiK оценил, что MEV-билдер захватил примерно 4,14 миллиона долларов из 5 миллионов, которые они вывели из пула стейблкоинов.

Маршрутизация MEV разделила оставшийся ether между двумя адресами: первый (0xbed) удерживал 3,3 миллиона долларов в ETH, а другой (0x573d) — примерно 276 ETH.

Примерно в 6:42 AM UTC во вторник Makina Finance написала заявлению в X, признавая взлом, но настаивая на том, что проблема не затронула всю инфраструктуру протокола.

Gmak, рано утром мы получили сообщения об инциденте с пулом $DUSD Curve

На данном этапе проблема, похоже, ограничена позициями LP DUSD на Curve. В настоящее время нет указаний на то, что другие активы или развертывания затронуты.

Базовые активы, удерживаемые в…

— Makina (@makinafi) January 20, 2026

Makina также попросила поставщиков ликвидности в пуле Curve DUSD вывести свою ликвидность, поскольку она определяет «соответствующие следующие шаги для затронутых пользователей и LP». Команда также пообещала предоставить сообществу больше обновлений, как только обзор инцидента будет завершен.

Атака с использованием флеш-кредитов DeFi-протокола предвещает крах для года, от которого пользователи крипто хотели уйти невредимыми, после ужасного 2025 года, когда с рынка было украдено более 3 миллиардов долларов. 

В отчете Cyvers о безопасности и мошенничестве в Web3 за прошлый год зафиксировано 108 инцидентов, связанных с мошенничеством и безопасностью, а также похищено около 16 млрд долларов в криптовалюте похищено с как минимум 140 бирж и торговых платформ.

Cyvers также сообщил о более чем 4,2 млн мошеннических транзакций с 780 000 адресов и почти 19 000 активных мошеннических сетей, в которых участвовали такие активы, как USDT, ETH и USDC.