Атака на Wasabi затронула контракты в сетях Ethereum, Base, Berachain и Blast, сообщает ForkLog со ссылкой на PeckShield и CertiK. Суммарные потери обе компании оценивают в диапазоне от $5 млн до $5,5 млн.

Механизм атаки — компрометация административного ключа. С его помощью злоумышленник провёл UUPS-апгрейд и заменил логику хранилищ, после чего вывел активы. По информации Cyvers, среди похищенного были WETH, PEPE, USDC, cbBTC и ряд других токенов; все они в итоге конвертированы в ETH.

Основатель SlowMist под ником Cos обратил внимание на архитектуру управления: протокол опирался на единственный EOA-адрес, без мультиподписи и задержки на исполнение операций. BlockSec, в свою очередь, отметил, что кошельки, задействованные в атаке, пополнялись через Tornado Cash.

Команда Wasabi призвала пользователей воздержаться от взаимодействия с контрактами до публикации дополнительных уведомлений.

Источник: Telegram: ForkLog

#wasabi#взлом#defi#безопасность#ethereum
Понравился материал?
Подписывайтесь — так вы не пропустите новые.
RSS-лента

Комментарии 6

Будьте вежливы — это делает обсуждение лучше
ИК
Ирина К.
ущерб в диапазоне 5-5,5 млн, а конвертировали всё в ETH и выводили через Tornado. интересно, как быстро аналитики вообще это отследили
A
alex88
UUPS-апгрейд без таймлока — классика. уже который раз одно и то же в этом году
МС
Марина Соколова
Подскажите, стоит ли сейчас выводить всё из пулов? или ждать официального заявления команды
Р
РедакцияРедакция
В статье указано, что команда призвала воздержаться от взаимодействия с контрактами до дополнительных уведомлений. Следите за официальными каналами Wasabi и не переходите по сторонним ссылкам.
О
Олег
один EOA на управление миллионами в четырёх сетях — это не безопасность, это рулетка
DP
dmitry_p
А мультисиг бы реально спас? Если ключ утёк, то не факт что остальные подписанты не скомпрометированы тем же способом