Ще один день, ще одна атака.
10 червня Solana-базована децентралізована біржа [DEX] Raydium виявила помилку в коді своєї застарілої програми AMM V3. Ця вразливість дозволила злоумиснику вивести кошти з кількох застарілих ліквідних пулів.
Для контексту, AMM V3 був програмою, яку Raydium припинив використовувати у 2021 році, і вона більше не була доступна через SDK, інтерфейс користувача чи поточний dApp.Використавши вразливість, зловмисник вивів приблизно 1,34 мільйона доларів США у криптовалюті з п’яти пулу.
Пули та токени скомпрометовано
За попередніми оцінками, атакувач вивів приблизно 150 177 Raydium [RAY], 5 603 Solana [SOL] та майже 893 700 USDC з постраждалих пулів.
Це включало пари RAY-SOL, USDC-RAY, SRM-RAY, Sollet USDT-RAY та Sollet ETH-RAY. PeckShield також відстежив сім Ethereum [ETH], які були депоновані на FixedFloat, та 810 ETH на Tornado Cash.
Тим не менш, забезпечуючи спільноту, Raydium опублікував у X:
Жоден із поточних користувачів Raydium не постраждав від цієї експлуатації або міг взаємодіяти з цими пулами через інтерфейс з моменту їх припинення.
Яка була основна причина цієї атаки?
Raydium стверджує, що вразливість виникла через недостатню перевірку токенів LP (провайдерів ліквідності) у старій програмі.
Тим не менш, атакувач зміг створити фальшивий LP-токен, оскільки контракт недостатньо перевіряв видання LP-токенів. Як наслідок, експлуататор вивів кошти з вплинутих пулів і обійшов перевірки пропорційного володіння.
Проблема, підкреслив Raydium, обмежувалася застарілою кодовою базою AMM V3 і не була спричинена компрометацією адміністративного права, приватного ключа чи масштабною порушенням безпеки протоколу.
Поточні програми мейннету протоколу тепер використовують іншу архітектуру, яка захищає їх від таких атак за допомогою механізмів віртуальної пропозиції та перевірки LP-мінтів.
Тому жодні поточні пули ліквідності, ні активні користувачі Raydium не були вплинуті. Протокол також повідомив, що всі збитки, спричинені експлойтом, будуть повністю компенсовані за рахунок скарбниці Raydium.
Крім того, проводиться більш детальний безпековий огляд усіх програм мейннету.
Вплив на ціну та інше
Цікаво, що незважаючи на експлойт, ціна RAY становила $0,5815 після зростання на 2,08% за попередній день. Однак 8% тижневе зниження та 30% місячне зниження продовжують викликати занепокоєння.
Це збіглося з ще одним використанням вразливості, під час якого нападник отримав контроль над адміністративними дозволами моста і вичерпав 141 мільйон H-токенів на Ethereum.
Крім того, дослідники безпеки виявили, що ще один зловмисник вивів приблизно 1,5 мільйона доларів США у вигляді WETH з ліквіднісного пулу Ethereum Balancer за допомогою атаки на захоплення управління.
Загалом, загальна сума вкрадених коштів у 2026 році зросла до 795,3 мільйона доларів США, при цьому найбільше випадків хакерських атак відбулося у квітні.
Фінальний підсумок
- Зловмисник вивів приблизно 150 177 RAY, 5 603 SOL і майже 893 700 USDC із постраждалих пулів.
- Ціна RAY залишилася незмінною, зростаючи більше ніж на 2% за останні 24 години.