Злоумышленник за 11 минут вывел более $9 млн из пулов ликвидности XPR Network (XPR), воспользовавшись своп‑контрактом, который принимал отрицательные значения при выводе средств.
Главное:
- Злоумышленник вывел более $9 млн из пулов ликвидности XPR Network примерно за 11 минут.
- Ошибка скрывалась в функции вывода, допускавшей отрицательные значения, что позволило «раздуть» внутренние балансы и затем забрать реальные токены.
- Продюсеры блоков оперативно переписали контракт и изъяли около 1,80 млрд XPR, оставив большую часть украденного предложения под контролем сети.
Эксплойт своп‑контракта XPR Network
Атака была нацелена на proton.swaps — ончейн‑своп‑контракт сети, откуда злоумышленник выкачал около 1,56 млрд XPR на сумму порядка $4,03 млн. Функция вывода в контракте принимала отрицательные значения. Это позволило атакующему искусственно увеличить внутренний баланс, а затем выводить под него реальные токены — трюк, который он повторял в пулах стейблкоинов, мостовых активов и лендинга, пока совокупный ущерб не превысил $9 млн.
Около 563 млн XPR, оцениваемых примерно в $1,46 млн, затем были прогнаны через лендинговый протокол: взломщик занял стейблкоины под залог украденных средств, доведя общий объём задействованных токенов до примерно 2,12 млрд XPR — около 6,5% обращения. Ещё 764 млн XPR примерно на $2 млн позже ушли на второй адрес.
Также по теме: ETF на XRP бьют рекорд $1,7 млрд притока за 9 недель вопреки слабой динамике цены
Цена XPR пробила уровень поддержки
Последствия быстро отразились на рынке. Уже в воскресенье XPR просел до ~$0,0026, потеряв около 5,6% за сутки после падения к минимуму в районе $0,00245 и закрепившись ниже $0,00271 — уровня, который ранее выступал поддержкой. В рамках той же сессии токен торговался до $0,00277, а капитализация сократилась примерно до $74 млн.
Индикатор RSI опустился до 27,47 — глубокой зоны перепроданности. Такое значение указывает скорее на односторонние распродажи, чем на «справедливое» переоценивание, а дневной объём торгов около $2,9 млн показал нехватку встречного спроса.
На фоне крупнейших DeFi‑взломов этого года сумма выглядит относительно скромной. Куда важнее характер сбоя: отсутствие одной проверки входных данных позволило вывести ущерб далеко за пределы одного своп‑контракта — в лендинговые и мостовые пулы, использовавшие общую ликвидность. Атакующему не потребовались ни флэш‑кредиты, ни манипуляции ораклами — хватило минуса, который контракт не отфильтровал.
Metallicus замораживает украденные XPR
Продюсеры блоков обновили контракт в 21:32 UTC, а примерно через два часа изъяли около 1,80 млрд XPR, передав токены под контроль сообщества. Лишь 319,5 млн XPR из затронутых 2,12 млрд успели уйти за пределы сети.
Большая часть пострадавшего предложения остаётся потенциально восстановимой — это стало возможным благодаря модели delegated proof‑of‑stake в XPR Network, где ограниченный круг избранных продюсеров может напрямую вмешиваться в состояние блокчейна. Сеть уже прибегала к этому инструменту ранее.
Metallicus, основной разработчик XPR Network, в сентябре 2024 года сообщила о повторном входе (re‑entrancy) в лендинговом контракте, приостановила депозиты, заимствования и ликвидации, заморозила затронутые активы и в следующем месяце поэтапно возобновила работу протокола.
Читайте также: Сэм Альтман исключил IPO OpenAI в 2026 году, сославшись на приоритет безопасности ИИ
