Хакер в області криптовалют повернув $40,5 мільйонів вкрадених цифрових активів на децентралізовану торгову платформу GMX протягом 48 годин після початкової атаки, прийнявши платіж у розмірі приблизно $4,5 мільйона як винагороду, що експерти з безпеки описують як незвичайно швидке вирішення серйозної блокчейн-атаки.
Що потрібно знати:
- Хакер використав смарт-контракти GMX 9 липня, викравши приблизно $42 мільйони через повторну атаки, яка маніпулювала цінами на токени
- GMX запропонував винагороду "білого хакера" у розмірі 10% без правових наслідків, якщо кошти будуть повернуті протягом 48 годин
- Нападник залишив собі приблизно $4,5 мільйони в якості винагороди, повернувши залишок у $40,5 мільйона у криптовалютних активах
Технічна експлуатація розкриває вразливість смарт-контрактів
Атака була спрямована на протокол GMX Version 1 за допомогою складної повторної атаки, що скористалася з недосконалої архітектури смарт-контрактів. Згідно з посмортем звітом від GMX, хакер маніпулював функцією контракту, яка не змогла запобігти багаторазовим викликам в одній операції.
Ця технічна вразливість дозволила нападнику штучно підвищити ціну GLP, токена постачальника ліквідності GMX.
Експлуатація дозволила злочинцю здійснити кілька викликів в межах однієї функції, змусивши контракт неправильно рахувати баланси та сприяючи викраденню різних цифрових активів.
Викрадені криптовалюти включали Згорнутий біткоін (WBTC), Долар спадщини Frax (FRAX) та стабільний коін DAI. Хакер згодом перевів кошти з мережі Arbitrum на основну мережу Ethereum. Усі активи, окрім FRAX, були перетворені на 11,700 ETH токенів.
Швидкі переговори приводять до безпрецедентного повернення
Команда безпеки GMX швидко відповіла на порушення, розмістивши повідомлення в ланцюзі з пропозицією винагороди білого хакера в 10%. Пропозиція включала 48-годинний термін та гарантувала відсутність правових дій проти правопорушника.
Хакер відповів через блокчейн-повідомлення: "ОК, кошти будуть повернуті пізніше." Процес повернення розпочався з відправлення $10,49 мільйони у FRAX токенах безпосередньо на адресу Multisig комітету безпеки GMX.
Залишок у $32 мільйони, який було раніше перетворено на ETH, був повернутий у кількох партіях. Внаслідок зростання цін на Ethereum під час інциденту, вартість ETH активів зросла до $35 мільйонів. Хакер зберіг $3 мільйони прибутку від цінових коливань, повернувши первісну суму викрадення.
Відновлення платформи та відповідь ринку
GMX підтвердив, що йому вдалось запобігти уразливості, яка дозволила атаку на новішу версію протоколу Version 2. Платформа видалила обмеження на емісію ліквідних токенів для GMX V2, які працюють на мережах Arbitrum і Avalanche.
Натівний токен GMX відновився після початкових збитків з новинами про повернення коштів. Дані ринку від CoinMarketCap показали, що актив виріс у вартості на понад 13%.
Аналітики з безпеки відзначили, що інцидент підкреслює ризики у протоколах децентралізованого фінансування, демонструючи при цьому потенційну ефективність програм винагород у заохоченні добровільного повернення коштів.
Заключні думки
Інцидент з GMX представляє рідкісний випадок, коли масштабне викрадення криптовалюти призвело до добровільного повернення коштів через переговори про винагороду. Відновлення $40,5 мільйона, полегшене 10% винагородою від GMX, демонструє альтернативний підхід до вирішення проблем безпеки блокчейна поза межами традиційних правових засобів.