SlowMist: Експлуатація NEM виводить $822 000, коли нападник маніпулює резервами ліквідності
Компанія з безпеки блокчейну SlowMist повідомила про експлуатацію на $821 920 токенів NEM 22 жовтня 2026 року, яка стосувалася вразливості у смартконтракті NemTokenV2 та ліквіднісному пулі USDT/NEM на PancakeSwap. Зловмисник, як повідомляється, маніпулював обліком токенів та ліквіднісними резервами за допомогою 42 повторюваних операцій, штучно підвищивши ціну обміну перед виведенням USDT. Цей інцидент підкреслює слабкості в безпеці власних механізмів токенів, що взаємодіють із децентралізованими біржами. Хоча зазначені збитки є значними, фінальний фінансовий вплив атаки, статус відновлення та зв’язок із початковим блокчейном NEM вимагають уважного розмежування.
SlowMist повідомляє про викрадення токенів NEM на суму $822 000 на PancakeSwap
На виявленні безпеки від 22 жовтня було виявлено вразливість обліку розрахунків у NemTokenV2, яка дозволяла зловмиснику маніпулювати резервами ліквідності без завершення відповідних обмінів токенів. Атака була спрямована на торгову пару USDT/NEM на PancakeSwap, де спотворені баланси резервів вплинули на ціну обміну токена. SlowMist оцінила збитки від інциденту приблизно у $821 920, що знову демонструє, як слабкості у логіці контрактів, специфічних для токенів, можуть експонувати ліквідність децентралізованих фінансів (DeFi).
Попередження про безпеку від SlowMist від 22 жовтня та оцінка збитків у розмірі $821 920
SlowMist визначив NemTokenV2 як уразливий смартконтракт і описав послідовність, в якій атакуючий неодноразово експлуатував невідповідності між зареєстрованою активністю продажу та фактичним розрахунком на біржі. Згідно з повідомленням, атака включала 42 повторення операцій переказу токенів та управління ліквідністю, які поступово змінювали залишки резервів пулу. Потім атакуючий використав отриману цінову дисбаланс, щоб обміняти залишкові токени NEM на USDT за штучно підвищеним курсом. Кожна повторювана операція сприяла умовам, що зробили фінальний обмін фінансово вигідним.
Оцінка збитків у розмірі 821 920 доларів США відображає фінансовий вплив, повідомлений SlowMist, а не незалежно підтверджений розрахунок чистого прибутку нападника. Хоча початкові результати безпеки виявили відповідні функції контракту та уражену торгову пару, повний детальний фінансовий аналіз по транзакціях не був незалежно підтверджений. Сума, яку в кінцевому підсумку зберіг нападник, може відрізнятися від оцінених втрат у пулі після врахування витрат на транзакції, початкового капіталу та будь-яких подальших рухів активів. Будь-яке підтверджене повернення вилучених активів також вплине на залишковий фінансовий вплив.
Вразливість до вирішення NemTokenV2 та експозиція ліквідності PancakeSwap
Повідомлена вразливість стосувалася того, як NemTokenV2 обробляв токени, що переказувалися до його ліквідного пулу. Логіка контракту зараховувала певні надходження як активність продажу, не перевіряючи належним чином, чи була здійснена угоди на біржі. Це створило невідповідність між внутрішнім обліком токену та реальною торговою активністю в пулі. Для механізмів обліку, пов’язаних з обсягом продажів, ця різниця може визначати момент активації автоматичних операцій з ліквідністю.
Інцидент також демонструє, чому механізми, специфічні для токенів, вимагають уважної інтеграції з ліквідністю пулів. Ці пули залежать від точних балансів активів для підтримки децентралізованої торгівлі, але власні функції токенів можуть вносити додаткові ризики, коли їхні припущення щодо обліку не збігаються з завершеними транзакціями. Зазначена слабкість стосувалася NemTokenV2, а не виявленого компрометування стандартних контрактів біржі PancakeSwap. Отже, інцидент не слід тлумачити як доказ того, що кожна торгова пара PancakeSwap була вплинута.
Як вразливість NemTokenV2 дозволила маніпулювати 42 ліквідністю
Експлойт NemTokenV2 був спрямований на розбіжність між зареєстрованими продажами токенів і фактичним розрахунком на біржі. Згідно з повідомленнями, вразливий контракт дозволяв перекази до ліквіднісного пулу, щоб впливати на облік, пов’язаний із продажем, навіть коли відповідний обмін не був підтверджений. Зловмисник використав цю слабкість разом із повторними операціями з контрактом, щоб змінити залишки резервів і створити сприятливі умови для торгівлі. Розуміння механізму вимагає розрізнення звичайної поведінки автоматизованого маркет-мейкера від вразливої логіки токена, що взаємодіє з нею.
Проблема з перевіркою розрахунків у NemTokenV2 у обліку токенів
На децентралізованій біржі переказ токенів до ліквідного пулу не означає автоматичного виникнення завершеної продажної операції. Дійсний обмін передбачає обробку транзакції контрактом біржі та облік участвуючих активів. NemTokenV2, як повідомляється, не зробив цього розрізнення, зареєструвавши певні перекази як діяльність з продажу. Як наслідок, його внутрішній облік може відображати діяльність, яка не призвела до відповідної завершеної біржової операції. Правильна перевірка заселення вимагала б від контракту розрізнення надходжень від обмінів, які були реально виконані.
Зловмисник використав цю невідповідність за допомогою операцій з skim() та flushLpSellRecycle(). У PancakeSwap V2 skim() переказує баланси токенів, що перевищують зареєстровані резерви пари, тоді як sync() оновлює ці зареєстровані резерви, щоб вони відповідали фактичним балансам. Ці функції виконують різні завдання і не є вразливими за замовчуванням. Звітна атака залежала від того, як кастомна логіка переробки токена взаємодіяла з пулом, дозволяючи повторно маніпулювати резервами. Ця різниця важлива, оскільки виклик skim() окремо зазвичай не зменшує зареєстровані резерви ліквідності.
Повторні зменшення резервів та штучне піднесення ціни NEM
SlowMist повідомив, що нападник повторив маніпуляційну послідовність 42 рази, поєднуючи перекази токенів з операціями skim() та flushLpSellRecycle(). Ця послідовність, як повідомляється, зменшила резерви NEM у пулу відносно його тримань USDT. У ліквідностному пулі з постійним добутком відносні кількості двох активів впливають на ціну обміну, тому зменшення резервів одного активу відносно іншого може збільшити його наведену ціну. Нападник використав цю нерівновагу, щоб продати залишкові тримання NEM на USDT за спотвореними ціновими умовами. Зазначені 42 повторення не слід автоматично вважати 42 окремими транзакціями блокчейну, оскільки одна транзакція може виконувати кілька викликів контракту. Точні зміни резервів та окремі суми транзакцій вимагають повної відновлення на ланцюзі.
Вивід USDT, спотворення ціни та різниця між токеном NEM та XEM
Фінансові наслідки експлуатації поширилися далі за звіт про маніпуляцію резервами. Змінивши баланс активів всередині впливового торгового пулу, нападник створив обмінний курс, який може значно відрізнятися від цін, підтримуваних звичайною ринковою діяльністю. Остаточне вилучення USDT відображало цей локальний ціновий дисбаланс, а не незалежно підтверджений ріст загальної ринкової вартості токена. Визначення впливового активу також важливе, оскільки токен, згаданий у звіті про безпеку, не був остаточно пов’язаний із нативним XEM.
Як атакуючий вилучив USDT із пулу PancakeSwap
Останній етап включав обмін залишкових токенів NEM атакуючого після зміни структури резерву пулу. З меншою кількістю токенів NEM у порівнянні з USDT, пул пропонував вищу непряму курсову ставку для NEM. Згідно з повідомленнями, атакуючий скористався цією нерівновагою, щоб отримати USDT за ціною, що не відображала нормальних умов торгівлі. Ця дія сприяла приблизно $821 920 втрат, оцінених у безпекових висновках SlowMist.
Визначення реальних доходів нападника вимагає більше, ніж звітні дані про збитки. Слідцям потрібно буде проаналізувати підтверджені транзакційні записи, початкові баланси активів, перекази USDT, витрати на виконання та будь-які залишки активів. Вони також повинні розрізняти вартість, вилучену з ліквідності, від суми, яку нападник насправді контролює. Порядковий огляд цих рухів допоможе розрізнити тимчасові перекази від активів, які нападник остаточно зберіг. Без цієї інформації опис усіх оцінених збитків як реалізованого прибутку перебільшує те, що підтверджується наявними доказами.
Інфляція ціни ліквідності порівняно з реальною вартістю ринку NEM
Ціна токена в децентралізованому ліквідному пулі залежить від активів, доступних у цій конкретній торговій парі. Коли баланси резервів різко змінюються, ціна, що котується, може відрізнятися від цін, доступних іншими способами. Зазначена маніпуляція з NemTokenV2 створила таке спотворення у впливаній парі USDT/NEM, але це не свідчить про порівнянне зростання загальної ринкової оцінки токена. Надійне порівняння на ринку в цілому вимагає реалізованих цін з інших торгівельних майданчиків за той самий період.
Глибина ліквідності може посилювати ці ефекти. Пул, що містить відносно невелику кількість доступних активів, зазвичай відчуває більший вплив ціни від змін резервів, ніж глибший ринок, що обробляє порівнянні угоди. Це означає, що різке підвищення ціни пулу може не відповідати ставці, за якою звичайні трейдери зможуть виконати великі продажі. Незалежно перевірені ринкові дані про ціни не підтвердили подібного зростання на інших торговых майданчиках, тому цей інцидент не слід представляти як загальне підвищення ринку NEM.
NemTokenV2 та Native XEM не є автоматично однаковим активом
Відмінність між NemTokenV2 та XEM, нативною криптовалютою оригінального блокчейну NEM, є важливою. Офіційна документація NEM ідентифікує XEM як нативну цифрову валюту мережі. Однак звіти про інцидент від 22 жовтня описують смартконтракт під назвою NemTokenV2, пов’язаний з торговою парою на PancakeSwap. Спільна назва проекту чи тікер не означає, що два активи є ідентичними або офіційно пов’язаними.
Підтвердження зв’язку вимагало б аналізу перевіреного адреси контракту впливового токена, документів щодо випуску та заяв від відповідних операторів проекту. Історія розгортання контракту також могла б допомогти встановити його походження та будь-який задокументований зв’язок із проектом NEM. Доки цей зв’язок не буде встановлено, повідомлені втрати слід приписувати впливовому контракту та ліквідності, а не початковому блокчейну NEM або всім власникам XEM. Ця розмежування допомагає інвесторам уникнути плутанини між експлуатацією, що стосується конкретного токена, і порушенням безпеки, яке впливає на цілий блокчейн-мережу.
Наслідки експлуатації NEM: ризики безпеки DeFi, статус відновлення та перспективи
Наслідки експлуатації токена NEM викликають занепокоєння щодо відновлення коштів, експозиції провайдерів ліквідності та безпеки кастомних смартконтрактів. Після розкриття SlowMist від 22 жовтня 2026 року найважливішими нерозв’язаними питаннями є статус усунення вразливості у постраждалому контракті, рух вилучених активів та надійність залишкової торгової ліквідності. Хоча початкові звіти встановлюють природу запропонованої вразливості, вони не надають повного опису подальших зусиль щодо відновлення чи умов компенсації.
Стан відновлення коштів та усунення проблем з NemTokenV2
На станом на 23 жовтня 2026 року проаналізовані звіти про інцидент не підтвердили підтверджену суму відновлених коштів, підтверджений план компенсації чи завершений безпековий патч для NemTokenV2. SlowMist, за повідомленнями, опублікувала адреси, пов’язані з нападником, експлойт-контрактом та пошкодженим токеном, надаючи потенційні вихідні точки для подальшого дослідження блокчейну. Однак ідентифікація цих адрес не підтверджує, що кошти були заморожені або повернуті. Будь-яке підтверджене відновлення вимагатиме підтримуючих on-chain транзакцій або надійних заяв від відповідальних сторін. Відсутність підтвердженої інформації про відновлення у проаналізованих джерелах не повинна трактуватися як доказ того, що жодна діяльності з відновлення не відбувалася.
Ризики постачальника ліквідності DeFi та наслідки для торгівлі
Постачальники ліквідності та трейдери стикаються з різними ризиками, коли резерви пулу стають спотвореними. Постачальники можуть стикатися зі змінами в цінності та складі своїх позицій ліквідності, тоді як трейдери можуть зіткнутися зі значним прослизанням, обмеженою глибиною торгівель та ненадійними котуваннями біржі. Точні втрати, завдані окремим учасникам, не були незалежно квантифіковані. Будь-хто, хто оцінює експозицію, повинен перевірити адресу впливового контракту та проаналізувати відповідні транзакції гаманця, а не покладатися виключно на назву токена. Також недостатньо доказів, щоб пов’язати інцидент із загальним падінням або відновленням ціни XEM, тому висновки щодо ринку в цілому передчасні.
Покращення безпеки смартконтрактів та додаткове дослідження
Повідомлена вразливість підкреслює важливість перевірки завершених обмінів перед оновленням записів продажу токенів. Розробникам, що перевіряють подібні механізми, слід дослідити, як облік переказів взаємодіє з функціями управління ліквідністю, зокрема коли повторні виклики можуть викликати зміни у резервах. Незалежні аудити смартконтрактів, симуляції транзакцій та тестування повторних операцій можуть допомогти виявити слабкі місця, які не виявляються при ізольованих перевірках транзакцій. Загалом, розуміння того, як виникають експлуатації смартконтрактів, може допомогти пояснити, чому логіка обліку токенів вимагає уважного аналізу навіть тоді, коли базові функції обміну працюють за проектом. Для NemTokenV2 підтверджений технічний виправлення та незалежно перевірена реалізація надають більш сильні докази усунення вразливості, ніж невиправдане забезпечення.
Майбутній перспективи ліквідності токена NEM і довіри інвесторів
Наступними важливими розробками будуть документовані технічні відповіді, підтверджений рух або відновлення вилучених USDT, а також надійна інформація про стан постраждалого торгового пулу. Підтверджена виправлена умова або прозора розслідування можуть допомогти учасникам ринку оцінити, чи було усунено виявлену вразливість. Навпаки, нерозв’язані недоліки бухгалтерського обліку та нестабільна ліквідність можуть ускладнити торгівлю та визначення ціни. Це потенційні сценарії, а не підтверджені прогнози, і жоден підтверджений термін відновлення або цільова ціна токена не було визначено. Довгострокове значення інциденту залежатиме від доказів ефективного усунення проблеми та прозорої звітності, а не від спекулятивних ринкових передбачень.
Висновок
Експлуатація токену NEM від 22 жовтня 2026 року демонструє, як слабкості у власному обліку смартконтрактів можуть виставити ліквідність децентралізованих бірж на фінансові втрати. SlowMist оцінила збитки приблизно у $821 920, при цьому атака, про яку повідомлялося, містила 42 повторювані операції, що маніпулювали резервами перед вилученням USDT.
Найважливіші нерозглянуті питання стосуються фінального фінансового впливу, будь-яких відновлених коштів, безпеки постраждалого контракту та його зв’язку з нативним XEM. Доки ці деталі не будуть незалежно перевірені, інцидент краще розуміти як повідомлений експлойт ліквідності NemTokenV2, а не як доказ компрометації початкового блокчейну NEM. Для учасників DeFi це підкреслює важливість перевірки виконання, надійної ідентифікації контрактів та прозорого звітування про безпеку.
ЧАСТІ ПИТАННЯ
Як користувачі можуть перевірити пошкоджений контракт NemTokenV2?
Користувачі можуть порівняти адресу контракту, опубліковану у попередженні про безпеку від SlowMist, з записами в Досліднику блокчейну, включаючи перевірений вихідний код, перекази токенів та взаємодії з контрактом. Перевірка точної адреси є більш надійною, ніж використання лише назви токена, оскільки не пов’язані між собою криптовалютні проекти можуть використовувати схожі назви або тікери.
Як трейдери можуть перевірити, чи взаємодіяв їхній гаманець із впливовим ліквіднісним пулом?
Трейдери можуть перевірити історію транзакцій свого гаманця у відповідному Досліднику блокчейну та визначити попередні обміни, депозити ліквідності або виведення, пов’язані з ураженою парою USDT/NEM. Адреси контрактів та записи транзакцій можуть допомогти встановити, чи взаємодіяв гаманець з цим ринком. Однак попередня взаємодія не означає автоматично фінансових втрат.
Чи скомпрометував експлойт токена NEM сам стейблкоїн USDT?
Немає підтверджених даних, що базовий смартконтракт USDT був скомпрометований. Звітний інцидент стосувався вилучення USDT шляхом маніпулювання цінами в конкретному ліквідному пулі PancakeSwap. Уразливість у одному токен-контракті або торговій парі не свідчить про порушення безпеки, що впливає на USDT на інших мережах чи біржах.
Чи означає схвалення токена, що гаманець був вплинутий експлойтом?
Ні. Схвалення токену надає смартконтракту дозвіл на переказ вказаної суми криптовалюти, але саме схвалення не означає, що кошти було переміщено або втрачено. Користувачі можуть перевірити існуючі дозволи на витрати та скасувати схвалення, які їм більше не потрібні. Скасування дозволу не відновлює активи, вже вилучені з ліквідного пулу.
Чи можуть трейдери продавати токени за штучно завищеною ціною у ліквідній пулині?
Не обов’язково. Відображувана обмінна ставка може відрізнятися від реальної ціни виконання, оскільки кожна угода змінює баланси активів у пулу і може включати прослизання та комісії. Великі продажі можуть принести значно менше, ніж початкове котування, особливо у пулах з обмеженою ліквідністю. Штучно підвищена ціна не повинна розглядатися як надійна ознака реалізовуваної ринкової вартості.
Чи представляють 42 зазначені маніпуляції 42 окремі транзакції в блокчейні?
Не обов’язково. Зазначена SlowMist цифра стосується 42 повторень послідовності маніпуляцій, а не незалежно підтвердженої кількості окремих транзакцій. Одна транзакція в блокчейні може виконувати кілька викликів контракту. Підтвердження кількості транзакцій вимагає перевірки відповідних хешів і трас виконання.
Відмова від відповідальності: Ця загальна інформація про ринок, можливо, з третіх сторін, комерційних або спонсорованих джерел, надається виключно для довідкових та освітніх цілей і не є фінансовою або інвестиційною порадою, пропозицією, запрошенням або гарантією. Ми відмовляємося від відповідальності за її точність, повноту, надійність та будь-які виниклі втрати. Інвестування/торгівля супроводжуються ризиком; минулі результати не гарантує майбутніх. Користувачі повинні проводити дослідження, обережно оцінювати ризики та брати повну відповідальність. Для отримання додаткової інформації будь ласка, ознайомтеся з Умовами використання та Відмовою від відповідальності щодо ризиків KuCoin.
Відмова від відповідальності: Для вашої зручності цю сторінку було перекладено за допомогою технології ШІ. Для отримання найточнішої інформації дивіться оригінальну англійську версію.