Кросчейн-протокол Allbridge призупинив роботу після атаки з використанням флеш-кредиту, яка вивела приблизно $1,65 млн з його пулів ліквідності. Експлойт, що стався в мережі Solana, використав флеш-кредит у розмірі $1,12 млн від кредитного протоколу Kamino для маніпулювання співвідношеннями пулів та виведення активів за вигідним курсом.
Як працював експлойт
Зловмисник взяв флеш-кредит у Kamino — позику, яку потрібно повернути в межах однієї транзакції — і використав ці кошти для штучного зміщення балансу пулів ліквідності Allbridge. Тимчасово завищивши одну сторону пулу, атакуючий зміг вивести більшу кількість іншого активу за спотвореним курсом. Після виведення флеш-кредит було повернуто, що призвело до дефіциту в пулах Allbridge на суму близько $1,65 млн.
Флеш-кредити самі по собі є поширеним інструментом DeFi, але вони стають небезпечними в поєднанні з маніпуляцією цінами або вразливостями оракулів. У цьому випадку зловмисник скористався тим, як пули Allbridge розраховують обмінні курси на основі внутрішніх балансів токенів.
Реакція Allbridge
Allbridge підтвердив інцидент у соціальних мережах і заявив, що призупинив усі операції для розслідування. Команда працює над планом повернення коштів і поділиться деталями після завершення розслідування. Користувачам рекомендовано не вносити та не виводити кошти до подальших повідомлень.
Протокол не оголосив термінів відновлення роботи. Нез'ясовано, чи можна повернути вкрадені кошти, і чи компенсуватиме Allbridge постраждалим користувачам збитки.
Роль Kamino
Kamino, кредитний протокол, який надав флеш-кредит, не був безпосередньою ціллю. Флеш-кредити є стандартною функцією багатьох DeFi-платформ і часто використовуються для легального арбітражу та рефінансування. Однак вони також уможливлюють атаки в поєднанні з вразливостями інших протоколів. Kamino не коментував інцидент.
Цей експлойт підкреслює постійний ризик у децентралізованих фінансах: навіть якщо окремі протоколи безпечні, композиційність DeFi може створювати несподівані поверхні атак. Allbridge став останнім у низці кросчейн-мостів і протоколів ліквідності, які постраждали від атак із флеш-кредитами.
Allbridge не повідомив, чи впроваджуватиме нові запобіжні заходи або змінюватиме механізм ціноутворення. Очікується, що найближчими днями команда опублікує звіт про інцидент.
