Хакер, который направляет свои атаки на протоколы DeFi-кредитования, уже украл около $3,5 млн. Последний раз он воспользовался ошибкой в конфигурации оракула на кредитной платформе Ploutos Money и прикарманил почти $390,000.
В компания по безопасности CertiK отметили, что после этого был удалён сайт проекта и его аккаунты в соцсетях.
Согласно анализу аудиторской компании BlockSec, Ploutos Money использовала данные Chainlink о курсе биткоина (BTC)/доллара США в качестве оракула для определения цены USDC. Злоумышленник смог занять 187 эфиров (ETH), предоставив в качестве залога всего 8 USDC.
В BlockSec отметили время атаки, составлявшее всего через один блок после подтверждения ошибки конфигурации, что может указывать на причастность инсайдеров.
Исследователь блокчейна Tanuki42 связал злоумышленника как минимум с четырьмя другими взломами, включая два инцидента с Moonwell.
На прошлой неделе у Moonwell образовалась безнадёжная задолженность в размере $1,8 млн, когда неправильно настроенный оракул вернул цену cbETH в размере $1,12 вместо $2200. Изменение кода, вызвавшее убытки, было разработано в соавторстве с Claude Opus 4.6.
Аналогичная атака затронула протокол конфиденциальности на Base Veil.Cash, однако потери были незначительными — всего 4,5 ETH, из которых 2 ETH были возвращены «белыми хакерами» Decurity.
Заместитель главного редактора Happy Coin News. Образование: экономист. Второе образование маркетинг. В криптоиндустрии с 2014 года. Неоднократно выступал в качестве эксперта на РБК. Биткоин — это не спекуляции, а свобода. Но, свобода требует личной ответственности.
