Как дерзкое ограбление опустошило хранилища GMX и заставило трейдеров DeFi задыхаться

от

О, драма! В ослепительном шоу цифрового дерзанья V1 пул GLP от GMX был освобожден от скромных $40 миллионов — просто вальцевали их прочь, как будто аудиты были лишь украшениями на каминной полке, а не реальной безопасностью. Теперь, когда функции левериджа застыли (как скандал в аббатстве Даунтон, но с большим количеством блокчейнов), торговые массы пребывают в замешательстве. Остается задаться вопросом: почему «аудированные контракты» стали такими же хрупкими, как благие намерения прошлого сезона? И осмелимся спросить, является ли непрерывная торговля DeFi сложной шуткой над всеми нами?

"Рынок всегда отрастает", говорили они... но не уточнили, когда. В нашем клубе "серьезных" инвесторов мы обсуждаем, как перестать смотреть на график каждые 5 минут.

Переложиться в кэш

В тот судьбоносный 9 июля наши друзья из GMX, оплота вечных и спотовых радостей на блокчейне, подтвердили, что пул GLV1 на Arbitrum был столь изысканно эксплуатирован неизвестным мошенником, что он похитил более $40 миллионов токенов. Все это в одной очаровательной транзакции! Браво, сударь или мадам. Инцидент, игриво манипулировавший механизмом хранилища GLP, вынудил GMX вывесить знаки: ‘без выпуска токенов, без выкупа и абсолютно никакого веселья’ на платформах Arbitrum и Avalanche. Руководство, благородное до кончиков пальцев, уверило нас, что затронуты только V1. Токен GMX V2, их репутация — пока остаются вне опасности.

Благодаря тому что точный вектор эксплуатации до сих пор остается загадкой, эта история обнажила хрупкую, поэтическую уязвимость даже самых «проверенных» смарт-контрактов. Большой вопрос остаётся: действительно ли DeFi может гарантировать «вечное», кроме, возможно, вечного сожаления? 🧐

Аудиты, благослови их, не смогли остановить выход 40 миллионов долларов из дверей

Как же удалось совершить этот геркулесов подвиг? По мнению блокчейн-аналитиков из upstanding, которые выпили слишком много кофе и недостаточно спали, злоумышленник манипулировал механизмом кредитного плеча GMX, выпуская огромное количество токенов GLP без необходимого обеспечения. Это действительно напоминает старинное злодеяние.

Таким образом искусственно уменьшив стоимость, злоумышленник обменял вновь созданный GLP на честные активы, оставив в пуле огромную дыру в 40 миллионов долларов быстрее чем вы скажете «так много для стресс-тестирования».

Добыча не бездельничала тоже. Разведданные от Сайверса и Луончайна показывают нам, что эмигрант использовал вредоносный контракт — финансируемый через Tornadocash, естественно для тех, кто предпочитает свою анонимность потрясением, а не перемешиванием. Пока что $9,6 млн добычи перешли с Arbitrum на Ethereum, используя протокол межсетевого перевода Circle, после чего следовали покупки DAO. 💸

🚨ВНИМАНИЕ🚨Наша система обнаружила подозрительную транзакцию с участием @GMX_IO.Злоумышленный контракт, развернутый адресом, финансируемым через @Torndocash, использовал активы на сумму примерно $42 млн в сети Arbitrum (#ARB) — включая: $ETH, $USDC, $fsGLP, $DAI, $UNI,… — 🚨 Cyvers Alerts 🚨 (@CyversAlerts) 9 июля 2025

Токены, освобожденные после кражи, включали ETH, USDC, fsGLP, DAI, UNI, FRAX, USDT, WEATH и LINK — роскошное многоактивное мероприятие, охватывающее как нативные, так и синтетические монеты. Можно представить себе шведский стол в Ритце, где официантами выступают хакеры.

Давайте не будем забывать, что GMX V1 был проверен лучшими в своем деле! Quantstamp выполнил его тонкую пре-деплойментную проверку на предмет повторных входов и разбросанных ключей, тогда как ABDK Consulting снова пересмотрел все из чувства профессиональной вины. Тем не менее, никто не подумал проверить саму логику кредитного плеча. Ой!

Еще раз история повторяется: аудит, несмотря на всю свою серьезность, зачастую оказывается великолепным пиар-жестом, но иногда бывает так же полезен как зонтик от коктейлей в урагане. К их чести, GMX имела награду за обнаружение багов размером $5 миллионов и армию наблюдателей—предположительно сейчас они отдыхают.

Настоящий поворот? Этот скандал ставит знак вопроса рядом с верой DeFi в аудиты. Если даже такой ветеран как GMX может быть обокраден на 40 миллионов долларов, что же будет со всеми нами неофитами?

На заключительной дипломатической ноте GMX написала – а что еще ожидать? – он-чейн письмо для похитителя денег: «Оставьте себе 10%, пожалуйста, верните нам остальное». В большом казино децентрализованных финансов иногда дом ведет переговоры с шулерами. Снимаю шляпу и передаю нюхательные соли. 🥂

Смотрите также

2025-07-09 21:57