Из контрактов Flamincome вывели $346 000 через мгновенный займ

Протокол децентрализованных финансов FlamingoFinance потерял $346 000 ≈ 1,05 млн BYN в результате атаки мгновенного займа. Злоумышленник воздействовал на ценообразование токенов в старых контрактах Flamincome — так назывался ранний запуск проекта. Об этом сообщила компания Blockaid, занимающаяся информационной безопасностью.

Механика атаки: хакер взял мгновенный займ на $18 млн ≈ 54,6 млн BYN в стейблкоинах USDT, чтобы увеличить объём сделки и воспользоваться уязвимостью в ценообразовании. Эти средства он направил на взаимодействие с токенами поставщика ликвидности USDP, которые лежали в стратегическом контракте. В результате цена токенов VaultYUSDT искусственно выросла — злоумышленник обменял ликвидные aUSDT по выгодному для себя курсу.

В чём именно состояла уязвимость ценообразования, специалисты Blockaid не уточнили. Известно, что затронутые контракты относятся к раннему запуску FlamingoFinance. Исследователи выявили несколько адресов, связанных с эксплойтом: после инцидента на одном из них осталось небольшое количество эфиров. Перед атакой хакер получил 0,1 ETH из криптомиксера Tornado Cash, затем переместил 144,15 ETH и взаимодействовал с протоколом LI.FI.

Blockaid опубликовала данные об инциденте в своём аккаунте в X: злоумышленник взял в мгновенный займ около $18 млн в USDT, завысил цену паёв VaultYUSDT через внесение USDP LP в Strategy и выкупил ликвидные aUSDT. Прибыль атакующего к моменту публикации — около $345,9 тыс. ≈ 1,05 млн BYN в USDT.

Серия атак на DeFi-протоколы

Инцидент с FlamingoFinance произошёл на фоне череды недавних взломов децентрализованных протоколов. Ранее неизвестные вывели из Chainflip 736 442 USDT после атаки на систему переводов в сети Tron. Команда Zentra Finance сообщила об уязвимости на сумму $143 000 ≈ 434 тыс. BYN, возникшей в резерве ctUSD.

В сентябре также атаковали протокол кроссчейн-ликвидности Symbiosis: злоумышленники использовали уязвимость смарт-контракта BridgeV2. Хакер сумел обменять 4,39 WBTC стоимостью $336 000 ≈ 1,02 млн BYN, но разработчикам удалось изолировать около 15 биткоинов.