Експлуатація Stake DAO в середу скомпрометувала ключ розгортання Arbitrum протоколу. Зловмисник випустив приблизно 5,4 трильйона фейкових токенів Vote-Boosted sdCRV (vsdCRV), а потім обміняв їх на ефір через публічний роутер.
Порушення обійшло всі наявні контролі смарт-контрактів. Один приватний ключ із привілеями призвів до збитків у сотні мільйонів доларів у DeFi цього року.
Як відбувся експлойт Stake DAO
Ончейн-сповіщення від Blockaid встановили, що порушення було зв’язане з гаманцем розробника Stake DAO. Зловмисник використав ключ, щоб скинути пір LayerZero v2 для vsdCRV.
Приблизно через 25 секунд піддельне міжланцюгове повідомлення випустило 5,4 трильйона vsdCRV на Arbitrum.
Зловмисник вивів токени за допомогою публічного роутера MetaMask. Помилок у смарт-контракті не виявлено.
Варто зазначити, що новий експлойт LayerZero на KelpDAO відбувся через подібне зловживання конфігурацією пірів.
Знайомий шаблон порушень ключів
Експлуатація Stake DAO слідує тій самій схемі, що й вилучення коштів з Wasabi Protocol у квітні. Компрометований гаманець розробника вивів близько 4,5 мільйона доларів із сейфів на чотирьох ланцюгах.
Drift Protocol втратив $285 мільйонів на Solana того ж місяця. Заморозка Arbitrum’s KelpDAO відбулася через кілька тижнів після експлойту мосту на суму $292 мільйони.
Кожен протокол пройшов аудит. Помилка знаходилася не в коді, а в ключах, що встановлювали піри моста або реалізації оновлень. Розлив Resolv на $80 мільйонів на початку цього року відповідав тій самій схемі
«Питання, на яке DeFi повинен відповісти у 2026 році, більше не полягає в тому, чи проходять протоколи аудит, оскільки майже всі з них це роблять. Воно полягає в тому, чи дозволено маленькому набору операційних ключів, що стоять за цими аудитованими контрактами… продовжувати існувати як один об’єкт на одному ноутбуці», — сказав співзасновник Sodot Шалев Керен BeInCrypto, додавши, що аудити більше не відповідають на головне питання.
Для Stake DAO та його аналогів, захист багатопідписових гаманців повинен розташовуватися між ключами розгортання та підробленими мінтами. В іншому випадку наступне порушення DeFi-платформи буде пов’язане з одним ноутбуком, а не з поганим кодом.