- Протокол стейблкоинов USPD подвергся сложному взлому: злоумышленники создали 98M USPD и вывели более $1 млн ликвидности.
- Взлом был осуществлен благодаря уязвимости инициализации прокси-контракта: злоумышленники использовали теневой контракт для обхода проверки и оставались незамеченными в течение нескольких месяцев.
- Атаки в сфере DeFi продолжаются по всей экосистеме, включая недавние инциденты с Yearn Finance и Balancer, что подчеркивает сохраняющиеся риски смарт-контрактов.
Децентрализованный финансовый протокол US Permissionless Dollar подвергся взлому, в результате которого произошло несанкционированное создание его стейблкоина и вывод более $1 млн ликвидности.
Согласно отчету об инциденте с официального аккаунта команды USPD в X, злоумышленник внес около 3122 ETH в качестве залога и использовал ошибку, которая позволила ему создать примерно 98 миллионов токенов USPD в одной транзакции.
В результате процесса было создано в десять раз больше токенов по сравнению с первоначальным депозитом, что позволило хакеру вывести дополнительные 237 стейков stETH в качестве залога. Украденные стейблкоины были впоследствии конвертированы примерно в $300 000 USDC через децентрализованную биржу Curve.
Разработчики протокола USPD и несколько аккаунтов в сфере кибербезопасности, такие как PeckShield Alert, немедленно после выявления взлома выпустили предупреждение для пользователей. заявив:
«Мы подтвердили критическую уязвимость в протоколе USPD, приведшую к несанкционированной чеканке токенов и выводу ликвидности. Пожалуйста, НЕ ПОКУПАЙТЕ USPD. Немедленно отзовите все разрешения (approvals)».
Хакер USPD воспользовался прокси-контрактами, чтобы обмануть протокол и заставить его чеканить токены.
Корпоративные DeFi В отчете протокола указано, что взлом был осуществлен с использованием сложного вектора атаки под названием «CPIMP» (Clandestine Proxy In the Middle of Proxy — тайный прокси посередине прокси). USPD объяснил, что злоумышленник опередил инициализацию прокси 16 сентября во время развертывания, используя транзакцию Multicall⟦N1⟧. Multicall3 транзакцию.
2/ Это не было ошибкой в логике наших смарт-контрактов.
Протокол USPD прошел строгие аудиты безопасности от ведущих компаний @NethermindEth и Resonance. Наш код полностью покрыт модульными тестами и соответствует строгим отраслевым стандартам. Сама логика остается безопасной.
— UPD.IO | Universal Private Dollar (@UPD_io) 4 декабря 2025 г.
Хакер использовал CPIMP, чтобы бесшумно захватить административные права до полного выполнения скриптов протокола, ожидая несколько месяцев, чтобы начать несанкционированную чеканку монет. Они внедрили «теневой» контракт, который пересылал вызовы в проверенный код USPD, а затем тонко манипулировали полезной нагрузкой событий и подделывали слоты хранения, чтобы обмануть Etherscan и заставить его отображать оригинальный проверенный контракт.
«Эта маскировка позволила злоумышленнику скрываться на виду месяцами, обходя инструменты проверки и ручные проверки. Сегодня они использовали свой скрытый доступ для обновления прокси, чеканки ~98M USPD и вывода ~232 stETH», — написали в USPD.
Блокчейн-аналитик Эммет Галлик подтвердил анализ протокола DeFi, добавив, что атака была вызвана инициализацией прокси во время развертывания.
«Злоумышленник захватил права администратора, установил теневую реализацию, которая обманула Etherscan, заставив его показать проверенный контракт. Протокол был взломан в течение нескольких месяцев», — резюмировал он.
USPD продолжит расследование и обещает выплатить вознаграждение хакеру
В ответ на атаку USPD заявило, что тесно сотрудничает с правоохранительными органами и группами безопасности (whitehat) для отслеживания и заморозки украденных средств. «Мы отметили адреса злоумышленника во всех крупных централизованных (CEX) и децентрализованных (DEX) биржах, чтобы заблокировать движение средств», — раскрыли детали команды.
Протокол также заявил о готовности урегулировать ситуацию с хакером при условии возврата средств за вычетом стандартного вознаграждения в размере 10% за обнаружение уязвимости. Протокол пообещал прекратить все действия правоохранительных органов, если хакер примет это предложение, и призвал злоумышленника связаться с ними напрямую или вернуть 90% украденных активов, чтобы вопрос был решен.
«Мы опечалены тем, что, несмотря на тщательные аудиты и соблюдение лучших практик, мы стали жертвой этого нового и крайне сложного вектора атаки. Мы делаем все возможное для возврата активов», — сообщили представители USPD своему сообществу.
Согласно данным CoinMarketCap, пег стейблкоина к доллару США пока не пострадал, но его объем торгов упал на 20% за последние 24 часа до уровня около $2,56 млн.
Взломы протоколов DeFi со стейблкоинами в прошлом были гораздо масштабнее того, с чем столкнулся USPD, включая взлом Euler Finance в 2023 году, который привел к убыткам более чем в $197 млн после вывода стейблкоинов из пулов кредитования.
Два протокола DeFi в режиме восстановления после ноябрьских эксплойтов
В прошлый понедельник Yearn Finance стал последним протоколом, пострадавшим от эксплойта в своем токене индекса ликвидного стейкинга yETH. Злоумышленник создал фактически неограниченное количество токенов и украл около $3 млн в ETH.
Ранее Yearn Finance уже страдал от взлома на $9 млн в своем пуле стабильного свопа yETH 30 ноября, но, как сообщает Cryptopolitan, сообщал в среду команда уже начала возвращать украденные средства. На данный момент удалось успешно вернуть $2,39 млн, которые будут возвращены пострадавшим депозитам.
Balancer, еще один протокол DeFi, потерявший $128 млн из-за уязвимости в v2, на прошлой неделе объявил о планах возместить примерно $8 млн поставщикам ликвидности.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
