Еще один день, еще одна уязвимость.
10 июня Solana-основанная децентрализованная биржа [DEX] Raydium обнаружила ошибку в коде своей устаревшей программы AMM V3. Уязвимость позволила злоумышленнику изъять средства из нескольких устаревших пулов ликвидности.
Для контекста, AMM V3 — это программа, которую Raydium перестала использовать в 2021 году, и она больше не доступна через SDK, пользовательский интерфейс или текущий dApp. Используя уязвимость, злоумышленник извлек примерно 1,34 миллиона долларов США в криптовалюте из пяти пулов.
Скомпрометированные пулы и токены
Согласно предварительным оценкам, атакующий извлек примерно 150 177 Raydium [RAY], 5 603 Solana [SOL] и почти 893 700 USDC из затронутых пулов.
Это включало пары RAY-SOL, USDC-RAY, SRM-RAY, Sollet USDT-RAY и Sollet ETH-RAY. PeckShield также отследил семь Ethereum [ETH], которые были депонированы на FixedFloat, и 810 ETH в Tornado Cash.
Тем не менее, заверив сообщество, Raydium опубликовало в X:
Никто из текущих пользователей Raydium не пострадал от этой уязвимости и не мог взаимодействовать с этими пуловыми через интерфейс с момента их снятия.
Какова была основная причина этой атаки?
Raydium утверждает, что уязвимость возникла из-за недостаточной проверки монет LP (провайдеров ликвидности) в устаревшей программе.
Тем не менее, злоумышленнику удалось создать поддельный токен LP, поскольку контракт недостаточно проверял выпуск токенов LP. В результате эксплуататор вывел средства из затронутых пулов и обшел проверки пропорционального владения.
Проблема, подчеркнул Raydium, ограничивалась устаревшей кодовой базой AMM V3 и не была вызвана компрометацией администраторских прав, частного ключа или масштабного нарушения безопасности протокола.
Текущие программы мейннета для протокола теперь используют другую архитектуру, которая защищает их от такого рода атак с помощью механизмов виртуального предложения и проверки майнтов LP.
Следовательно, ни текущие пулы ликвидности, ни активные пользователи Raydium не были затронуты. Протокол также сообщил, что все потери, вызванные эксплуатацией уязвимости, будут полностью возмещены за счет казны Raydium.
Вместе с этим проводится более тщательный аудит безопасности всех программ мейннета.
Влияние на цену и больше
Интересно, что несмотря на эксплойт, цена RAY составляла $0,5815 после роста на 2,08% за предыдущий день. Однако 8%-е падение за неделю и 30%-е падение за месяц продолжают вызывать обеспокоенность.
Это совпало с ещё одной уязвимостью, в результате которой злоумышленник получил контроль над административными правами моста и изъял 141 миллион токенов H на ethereum.
Кроме того, исследователи безопасности обнаружили, что другой злоумышленник вывел примерно 1,5 миллиона долларов США в WETH из ликвидностного пула Ethereum Balancer с помощью атаки на захват управления.
В целом, общая сумма украденных средств в 2026 году достигла 795,3 млн долларов США, причем в апреле зафиксировано наибольшее количество инцидентов.
Финальное резюме
- Злоумышленник вывел примерно 150 177 RAY, 5 603 SOL и почти 893 700 USDC из затронутых пулов.
- Цена RAY осталась неизменной, выросла более чем на 2% за последние 24 часа.