Unleash Protocol сталкивается с критикой из-за уязвимости безопасности: 3,9 миллиона долларов переведены через Tornado Cash

Протокол финансирования интеллектуальной собственности Unleash Protocol подвергся значительной атаке безопасности, в результате которой было потеряно примерно 3.9 миллионов долларов. Согласно анализу компании по безопасности блокчейн PeckShield, украденные доллары были направлены в сервисы смешивания криптовалют для сокрытия их цифрового следа.

Инцидент был обусловлен критической уязвимостью в механизме управления протоколом, что позволило злоумышленнику получить несанкционированный административный доступ к системе смарт-контрактов.

Как сбой в системе мультиподписного управления позволил совершить кражу

Технический анализ PeckShield и исследователи в цепочке LookonChain сошлись во мнении, что атака не возникла из-за уязвимости в Story Protocol (базовом протоколе), а из-за конкретной ошибки в архитектуре управления Unleash.

Согласно официальному заявлению протокола, «ранее сегодня мы обнаружили несанкционированную активность, связанную с нашими смарт-контрактами, что привело к выводу и переводу средств пользователей. Наше предварительное расследование показывает, что внешняя управляющая сторона получила административный контроль через систему мультиподписного управления, что позволило произвести несанкционированное обновление контракта.»

Подобная атака представляет особую опасность на платформах DeFi, где децентрализованное управление является основным механизмом контроля. Мультиподпись, которая предположительно требует нескольких одобрений, была скомпрометирована, что позволило обновлять контракт вне стандартных процедур управления.

Пути следования долларов: от Unleash до Tornado Cash

Затронутые активы в ходе атаки включают несколько токенов экосистемы: WIP, USDC, WETH, stIP и vIP. После вывода этих долларов из протокола средства были немедленно переведены через инфраструктуру третьих сторон на внешние адреса.

Злоумышленник специально депонировал 1,337.1 ether (ETH) — что примерно соответствует 3.2 миллионам долларов по текущему курсу — в Tornado Cash, сервис микширования криптовалют, широко используемый для маскировки истории транзакций в блокчейне. Эта техника отмывки является распространенной тактикой при краже криптовалют, делая практически невозможным отслеживание украденных долларов после их попадания в Tornado.

Скорость перевода — от скомпрометированного протокола до Tornado Cash — указывает на то, что операция была скоординированной, возможно, злоумышленник заранее подготовил целевые адреса.

Story Protocol и экосистема финансирования интеллектуальной собственности

Unleash Protocol работает в рамках экосистемы Story Protocol, платформы, предназначенной для токенизации прав интеллектуальной собственности. Цель таких платформ — позволить медиа, брендам и творческим работам быть перенесенными в блокчейн, токенизированными, лицензированными или используемыми как финансовые примитивы внутри децентрализованных приложений.

Хотя атака напрямую затронула Unleash, расследование подтвердило, что сама Story Protocol не была уязвима. Проблема была связана именно с уровнем управления Unleash, а не с базовым протоколом. Тем не менее, этот инцидент подчеркивает риск, связанный с плохо защищенными системами управления в экосистеме DeFi.

Аварийные меры и шаги для пользователей

Немедленно после обнаружения несанкционированной активности Unleash Protocol приостановил все операции, продолжая расследование. Протокол сотрудничает с независимыми экспертами по безопасности и судебными исследователями для определения коренной причины уязвимости в управлении.

Пользователям настоятельно рекомендуется не взаимодействовать с контрактами протокола Unleash до особого указания. Средства, оставшиеся на депозитах, потенциально находятся под угрозой до полного разрешения ситуации. Вся официальная информация передается через официальные каналы протокола в социальных сетях и прямые коммуникации.

Влияние на безопасность в DeFi и ключевые уроки

Этот инцидент подчеркивает важную истину децентрализованной экосистемы: безопасность управления так же критична, как и безопасность кода. Кража 3.9 миллионов долларов через административную уязвимость, а не техническую, подтверждает, что централизация власти даже в системах мультиподписей может быть использована.

Для платформ, управляющих токенизированной интеллектуальной собственностью и связанными с ней финансовыми правами, стандарты управления должны быть более строгими. Опыт с Unleash Protocol напомнит сообществу DeFi, что средства пользователей защищены только в случае, если административные структуры устойчивы к компрометированию и внутренним атакам.

Индустрия продолжит учиться на подобных событиях, поскольку механизмы децентрализованного управления требуют постоянного контроля и периодических аудитов безопасности со стороны специалистов.