Raydium, одна з найбільших децентралізованих бірж Solana, розкрила витік у своїй застарілій програмі Automated Market Maker V3, який викрав приблизно 1,34 мільйона доларів США з п’яти застарілих ліквідних пулів. Атака була спрямована на пули, які були виведені з експлуатації ще в 2021 році, що означає, що жодні активні користувачі чи поточні інтерфейси Raydium не були задіяні.
Що було взято і як
Вилучені активи включали приблизно 150 177 токенів RAY, 5 603 токенів SOL та близько 893 700 USDC. П’ять уражених пулів: Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY та RAY-SOL, всі з яких були зняти з експлуатації після припинення роботи протоколу Serum у 2021 році.
Основною причиною був самодостатній логічний дефект у процесі перевірки мінту постачальника ліквідності. Зловмисник створив фальшивий мінт LP і використав його, щоб обійти захисні перевірки, які мали заборонити виведення коштів. Пули більше не підтримувалися в основному програмному інтерфейсі розробки Raydium або на фронтенді децентралізованого додатка, але смартконтракти залишалися активними в мережі з реальними активами, заблокованими всередині.
Слідкуйте за грошима
Гаманець нападника було відстежено до KuCoin, централизованої біржі, що свідчить про те, що саме там походили початкові кошти для експлуатації. Після виведення коштів приблизно 810 ETH було переслано через Tornado Cash — конфіденційний міксер ethereum.
Відповідь Raydium та більша картина
Raydium швидко підтвердила, що компенсує втрачені активи безпосередньо зі своєї скарбниці. Біржа також оголосила про всебічний аудит безпеки всіх своїх програм мейннету.
Перехід Raydium від цих старих пулів був спричинений зупинкою Serum — протоколу on-chain книги ордерів, який колись був центральним елементом DeFi-екосистеми Solana. З того часу Raydium перейшов на нові версії програм, включаючи V4 та V5, які використовують механізми віртуальної пропозиції разом із строгішими протоколами перевірки акаунтів. Але старі контракти, схоже, не були повністю припинені.
Поточні пули Raydium, його CLMM (Concentrated Liquidity Market Maker) і новіші версії AMM, не були вплинуті. Підтримка скарбниці означає, що жоден із користувачів, у кого залишилися кошти у застарілих пулах, не залишиться з втратами.
Українські органи санкціонували Tornado Cash у 2022 році, і його продовжене використання у відмиванні коштів з експлойтів надає регуляторам аргументи для вимог більш суворої регуляції DeFi-протоколів.