Децентрализованный банк стейблкоинов Infini пострадал от эксплуатации на $49M после того, как злоумышленник сохранил контроль уровня администратора

Хакер вывел более $49M в USDC из банка стейблкоинов Infini. Эксплуатация могла быть вызвана внутренним доступом к смарт-контракту, где разработчик сохранил доступ после передачи контракта Infini. 

Административный доступ к смарт-контракту позволил злоумышленнику вывести $49M из протокола Infini, децентрализованного банка стейблкоинов. Сам Infini пока не отреагировал на эксплуатацию и не объяснил характер взлома. Infini является эмитентом криптокарт, принимающих обеспечение в стейблкоинах для ежедневных платежей. 

Infini позиционировала свои платежные услуги как необанк, объединив криптовалюту и традиционные финансы. Продукт привлек на 500% больше пользователей за последние недели с запуском кампаний по выпуску карт. Необанк также предлагает продукты с высокой доходностью, что привело к росту доступной ликвидности для злоумышленника.

Именно продукты с доходностью создали условия для эксплуатации, так как средства, по сообщениям, предприняли были выведены из Morpho MEV Capital Usual USDC Vault. Morpho не выпускала никаких предупреждений и не сообщала о потерях средств.

Эксплуатация была обнаружена после того, как обычная транзакция кита показала вывод всех средств, заблокированных в контракте новым кошельком. Кошелек атакующего был известен Infini, поскольку проект, по сообщениям, поручил злоумышленнику создать смарт-контракт. Независимо от этого, атакующий сохранил права администратора и мог инициировать вызов для вывода всей ликвидности., Немедленное действие злоумышленника заключалось в обмене USDC на покупку 17 696 ETH. Злоумышленник прошел через DAI, который был доступен через децентрализованные протоколы. Средства перемещались через Uniswap, Sky Protocol и 0x Protocol. Быстрый обмен USDC позволил хакеру перевести средства в ETH, которые нельзя заморозить, а только внести в черный список биржами. 

🚨ВНИМАНИЕ🚨Сегодня @0xinfini подвергся эксплуатации на $49M в виде $USDC из-за того, что злоумышленник использовал сохранённые административные привилегии.

Злоумышленник, действовавший с адреса 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, изначально разработал контракт в рамках проекта Infini. Однако после… pic.twitter.com/olguOyNCJr

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) февраля 24, 2025

Немедленным действием злоумышленника было выведение средств из USDC для покупки 17 696 ETH. Злоумышленник прошел через DAI, который был доступен через децентрализованные протоколы. Средства перемещались через Uniswap, Sky Protocol и 0x Protocol. Быстрое выведение из USDC позволило хакеру перевести средства в ETH, который нельзя заморозить, а только внести в черный список на биржах.

После этого злоумышленник разделил выручку на меньшие суммы и перевёл их на несколько адресов. Эксплойтер использовал новый кошелёк для отправки небольшого количества ETH в качестве газа и завершения транзакции. Первоначальное финансирование кошелька поступило из Tornado Cash, что скрыло часть ончейн-активности хакера.

После этого ETH был перемещён через серию переводов. На момент написания средства всё ещё не были смешаны. 

Неужели хакеры из КНДР снова нанесли удар?

Личность создателя контракта остаётся неизвестной, так как Infini не раскрыла, кто был нанят для разработки смарт-контракта. 

Взлом Infini следует за крупнейшим эксплойтом 2025, где биржа Bybit потеряла до $1,5 млрд в Ethereum (ETH). У хакера Bybit был схожий подход: разделение ETH перед смешиванием. Ончейн-расследователь ZachXBT указал на множество примеров, подтверждающих, что такой метод является одной из характерных черт группы Lazarus. Пока что Infini не связала ни один из кошельков эксплойтера с другими известными адресами группы Lazarus. 

На этот раз приватные ключи не были скомпрометированы, и Infini не приостанавливала снятие средств или депозиты. 

Основатель Infini, @christianeth, взял на себя полную ответственность за взлом, заявив о своей небрежности в процессе передачи прав от разработчика к проекту. Основатель заверил пользователей, что протокол остаётся ликвидным и в худшем случае выплатит полную компенсацию. 

“Мой личный приватный ключ не был скомпрометирован, поэтому нет причин для чрезмерной тревоги. Я допустил халатность при передаче прав ранее. В конечном итоге это моя ответственность. Это прозвучало как сигнал тревоги… С ликвидностью всё в порядке. Полная компенсация будет выплачена, и средства отслеживаются. написал @christianeth в X.

Другие данные ончейн-анализа указывают на возможную утечку приватного ключа, что позволило хакеру получить доступ к контракту. PeckShield отметила, что инженер, превратившийся в хакера, выявили. После атаки один из сооснователей Infini, @0xsexybanana, удалил свой аккаунт в X. Текущая кража является предполагаемой атакой инсайдера, так как инженер пользовался доверием, достаточным для создания смарт-контракта. 

Недавние эксплойты и накопление ETH вызвали вопросы о возможности использования сети для отмывания денег и потенциального финансирования враждебных режимов. В то же время эти эксплойты спровоцировали небольшой рост курса ETH, впервые за недели превысивший $2,800. Потери ETH вынудили биржи восполнить свои резервы, что привело к дополнительному спросу.