CGD - Crypto Government Department logo CGD - Crypto Government Department logo
Forklog 2025-03-07 13:25:54

Уязвимость в устаревшем смарт-контракте 1inch привела к потере $5 млн. Хакер возместил активы

5 марта команда 1inch выявила уязвимость в устаревшем смарт-контракте Fusion v1. Ошибка привела к убыткам в размере 2,4 млн USDT и 1276 wETH (~$2,7 млн), по данным компании SlowMist. 10 марта 2025 | 13:48Апдейт: В комментарии ForkLog юристы 1inch уточнили, что атака была направлена не на саму платформу, а на конкретных резолверов (маркетмейкеров), которые использовали старый смарт-контракт. Инцидент не затронул средства агрегатора и его пользователей. «Уязвимость связана с устаревшим контрактом 1inch Settlement v1, который утратил актуальность и больше не используется. Под угрозой оказались резолверы, продолжившие применять старый контракт без надлежащих мер безопасности», — отметили представители 1inch. Аналитики зафиксировали подозрительные транзакции, связанные с платформой в тот же день. Представители 1inch заявили, что средства конечных пользователей не пострадали. Инцидент затронул только парсеры, использующие Fusion v1. We’re actively working with affected resolvers to secure their systems.We urge all resolvers to audit and update their contracts immediately. For more details and bug bounty info (inc. funds return), visit: https://t.co/obLdWF2c6W— 1inch (@1inch) March 6, 2025 «Мы активно сотрудничаем с пострадавшими сторонами для защиты их систем. Призываем всех разработчиков срочно проверить свои контракты и обновить их», — говорится в предупреждении. 7 марта 2025 | 20:35Апдейт: Аудитор Decurity выпустил анализ инцидента, который назвал "одной из самых сложных атак на DeFi". Согласно отчету, в старой версии 1inch Settlement присутствовала опция обратного вызова для исполнения всех совпадающих ордеров. "Callback-функция должна была вызываться, только когда ордер исполняет сам контракт резолвера. Однако из-за ошибки в обработке аргументов функции при парсинге суффикса ордера оказалось возможным перезаписать адрес контракта резолвера и сделать вызов к любому из них. Это привело к потерям маркетмейкера TrustedVolumes", — объяснили эксперты.  5 марта хакер запросил у жертвы вознаграждение и договорился о выплате $450 000 в качестве баунти. Остальная сумма возвращена маркетмейкеру. Напомним, в феврале индустрия потеряла $1,53 млрд, сообщили эксперты Immunefi. Это связано со взломом биржи Bybit на почти $1,5 млрд.

Διαβάστε την Αποποίηση Ευθυνών : Όλο το περιεχόμενο που παρέχεται εδώ στον ιστότοπό μας, τους υπερσυνδεδεμένους ιστότοπους, τις σχετικές εφαρμογές, τα φόρουμ, τα ιστολόγια, τους λογαριασμούς κοινωνικών μέσων και άλλες πλατφόρμες (“Site”) προορίζεται μόνο για τις γενικές πληροφορίες σας, που προέρχονται από τρίτες πηγές. Δεν κάνουμε καμία εγγύηση οποιουδήποτε είδους σε σχέση με το περιεχόμενό μας, συμπεριλαμβανομένης ενδεικτικά της ακρίβειας και της ενημέρωσης. Κανένα μέρος του περιεχομένου που παρέχουμε δεν αποτελεί οικονομική συμβουλή, νομική συμβουλή ή οποιαδήποτε άλλη μορφή συμβουλών που προορίζεται για τη συγκεκριμένη εμπιστοσύνη σας για οποιονδήποτε σκοπό. Οποιαδήποτε χρήση ή εξάρτηση από το περιεχόμενό μας είναι αποκλειστικά με δική σας ευθύνη και διακριτική ευχέρεια. Πρέπει να πραγματοποιήσετε τη δική σας έρευνα, να ελέγξετε, να αναλύσετε και να επαληθεύσετε το περιεχόμενό μας προτού βασιστείτε σε αυτά. Η διαπραγμάτευση είναι μια εξαιρετικά επικίνδυνη δραστηριότητα που μπορεί να οδηγήσει σε μεγάλες απώλειες, επομένως συμβουλευτείτε τον οικονομικό σας σύμβουλο πριν λάβετε οποιαδήποτε απόφαση. Κανένα περιεχόμενο στον ιστότοπό μας δεν προορίζεται να είναι παράκληση ή προσφορά