Atakujący w 11 minut wyprowadził ponad 9 mln USD z pul płynności na XPR Network (XPR), wykorzystując kontrakt swapowy, który akceptował ujemne kwoty wypłat.
Najważniejsze informacje
- Atakujący w około 11 minut wyciągnął z pul płynności XPR Network ponad 9 mln USD.
- Luka tkwiła w funkcji wypłaty, która przyjmowała wartości ujemne, co pozwoliło sztucznie zawyżać salda wewnętrzne i następnie wypłacać realne tokeny.
- Producenci bloków załatali kontrakt i przejęli ok. 1,80 mld XPR, zatrzymując większość skradzionej podaży w sieci.
Atak na kontrakt swapowy XPR Network
Celem ataku był proton.swaps, on-chainowy kontrakt swapowy sieci, z którego sprawca wyczyścił ok. 1,56 mld XPR o szacunkowej wartości 4,03 mln USD. Funkcja wypłaty akceptowała wartości ujemne. To umożliwiło atakującemu napompowanie wewnętrznego salda, a następnie wypłatę realnych tokenów względem fikcyjnego bilansu – trik powtarzany w pulach stablecoinów, aktywów mostkowanych i pożyczkowych, aż łączna kwota strat przekroczyła 9 mln USD.
Około 563 mln XPR, wartych ok. 1,46 mln USD, przepłynęło następnie przez protokół pożyczkowy po tym, jak atakujący zaciągnął pożyczki zabezpieczone skradzionymi stablecoinami. To podniosło łączną liczbę „skażonych” tokenów do ok. 2,12 mld XPR, czyli ok. 6,5% podaży w obiegu. Kolejne 764 mln XPR, o wartości blisko 2 mln USD, trafiło później na drugie konto.
Przeczytaj także: ETF-y na XRP biją rekord 1,7 mld USD napływów mimo słabości ceny
Kurs XPR przebija wsparcie w dół
Skutki ataku szybko przeszły na rynek. Kurs XPR spadł w niedzielę do ok. 0,0026 USD, o ok. 5,6% w dół w ciągu 24 godzin, po zejściu w okolice minimum 0,00245 USD, i utrzymał się poniżej 0,00271 USD – poziomu, który wcześniej pełnił rolę wsparcia. W trakcie tej samej sesji token był chwilowo handlowany nawet po 0,00277 USD, a kapitalizacja rynkowa obniżyła się do ok. 74 mln USD.
RSI zsunął się do 27,47 pkt, głęboko w strefę wyprzedania. Taki odczyt sygnalizuje jednostronną presję sprzedażową, a nie uporządkowaną reprycę. Dzienny obrót w okolicach 2,9 mln USD wskazuje przy tym na ograniczoną podaż kupujących.
Skala strat pozostaje niewielka na tle największych tegorocznych incydentów w DeFi. Dużo istotniejszy jest jednak sposób awarii – brak jednego sprawdzenia poprawności wartości wejściowych pozwolił, by szkody rozlały się poza pojedynczy kontrakt swapowy na pulę pożyczkową i pule aktywów mostkowanych, które współdzieliły tę samą płynność. Atak nie wymagał ani flash loanów, ani manipulacji wyroczniami – wystarczył minus w danych wejściowych, którego kontrakt nie odrzucał.
Metallicus zamraża skradzione XPR
Producenci bloków załatali kontrakt o 21:32 UTC, a ok. dwie godziny później przejęli ok. 1,80 mld XPR, przenosząc te tokeny pod kontrolę społeczności. Z 2,12 mld XPR objętych atakiem zaledwie 319,5 mln tokenów wydostało się poza rodzimą sieć.
Większość naruszonej podaży pozostaje więc potencjalnie do odzyskania – scenariusz możliwy dlatego, że XPR Network działa w modelu delegated proof-of-stake, w którym niewielka grupa wybranych producentów bloków może bezpośrednio ingerować w stan łańcucha. Sieć korzystała już wcześniej z tego mechanizmu.
Metallicus, główny deweloper XPR Network, poinformował we wrześniu 2024 r. o ataku typu re-entrancy na kontrakt pożyczkowy, po czym wstrzymał depozyty, zaciąganie pożyczek i likwidacje, zamroził zagrożone środki, a następnie etapami ponownie uruchomił funkcjonalność pożyczkową w kolejnym miesiącu.
Czytaj dalej: Sam Altman wyklucza IPO OpenAI w 2026 r., wskazując na koszty bezpieczeństwa AI
