- Скомпрометований мультіпідпис 1 з 3 дозволив нападникам випустити $13,5 млн EURR та USDR, перш ніж обміняти їх на ETH.
- EURR впав до ~$0,85, а USDR — до ~$0,40, оскільки непідтримувані токени затопили ринки, а ліквідність зруйнувалася.
- Blockaid приписала витік невдачі в управлінні, звернувши увагу на ризики, пов’язані з поганим управлінням ключами в системах стейблкоїнів.
Стейблкоїни StablR EURR і USDR втратили прив’язку після експлуатації, що включала скомпрометований гаманець мультипідпису та $13,5 млн несанкціонованого створення. Інцидент, повідомлений на вихідних, призвів до випуску токенів поза межами забезпечення та швидкого виведення їх на децентралізованих біржах. За даними ончейн-дослідника ZachXBT, нападник пізніше перетворив великі частини на ETH, поки система залишалася активною.
Експлуатація мультіпідпису спричинила зловживання мінтингом
Компанія з безпеки Blockaid повідомила, що витік виник через мультіпідписову схему 1 з 3, що керує контрактом на мінт StablR. Зловмисник скомпрометував одного підписanta і отримав адміністративний контроль.
Після отримання доступу нападник замінив існуючих власників та випустив 8,35 мільйона USDR та 4,5 мільйона EURR. Це створило близько 13,5 мільйона доларів США непідтримуваних токенів у ранні години експлуатації.
За даними Blockaid, приблизно 10,4 мільйона доларів США було обміняно на ETH через децентралізовані біржі. Однак прослизання зменшило початковий реалізований прибуток до приблизно 2,8 мільйона доларів США.
Зокрема, нападник також використав адміністративні права, щоб заблокувати та спалити токени. Ончейн-записи показали, що приблизно 2,7 мільйона EURR було вилучено з гаманця, який активно використовувався для звичайних процесів викупу.
EURR та USDR втратили стабільність прив’язки
EURR та USDR втратили свою прив’язку всього через декілька хвилин після початку експлойту. EURR впав приблизно до 0,85 $, а USDR впав до 0,40 $ під час торгівлі.
За даними CoinGecko, EURR торгувався близько $0,85 після вікна атаки. USDR пізніше трохи відновився, але залишився значно нижче паритету.
Тим часом ZachXBT виявив інцидент під час активної діяльності та відстежував рухи гаманців, фінансованих через протокол міжланцюгового переказу Circle. Він також повідомив про часткове заморожування коштів під час періоду експлуатації.
StablR підтвердила інцидент через кілька годин після того, як активність у блокчейні зменшилася. Компанія заявила, що працює над припиненням експлойту та оцінкою впливу на систему.
Ризики управління та інституційний контекст
Blockaid відніс витік до невдачі в управлінні правами доступу та ключами, а не до помилки у смартконтракті. Порогове значення підпису 1 з 3 стало центральним фокусом аналізу безпеки.
StablR раніше мала підтримку від Tether і Kraken, що розмістило її на регульованих європейських ринках стейблкоїнів. Видавець діє за ліцензією фінансового регулятора Мальти.
Згідно з раніше опублікованими даними, EURR і USDR обробили понад 3 мільярди євро обсягу транзакцій на початку 2025 року. Ці токени також були виставлені більш ніж на 50 біржах з понад 150 торговими парами.
Інцидент відповідає загальній схемі експлойтів 2026 року, що пов’язані зі зловживанням привілеями та невдачами в управлінні криптопротоколами.