Несмотря на многоуровневую проверку, пул V1 GLP от GMX был взломан более чем на 40 миллионов долларов в результате наглой эксплуатации. Поскольку функции кредитного плеча теперь заморожены, трейдеры задаются вопросом: как взломали проверенные контракты? И что это значит для будущего бессрочной торговли в DeFi? 9 июля ончейн-платформа бессрочной и спотовой торговли GMX подтвердила, что ее пул V1 GLP на Arbitrum был взломан, и более 40 миллионов долларов в различных токенах были переведены в неизвестный кошелек в рамках одной транзакции. Атака, которая, по-видимому, манипулировала механизмом хранилища GLP, вынудила протокол остановить торговлю и приостановить выпуск и погашение GLP как на Arbitrum, так и на Avalanche. GMX уточнила, что взлом был изолирован для V1 и не повлиял на GMX V2, ее токен или другие связанные рынки. Хотя команда GMX еще не раскрыла точный вектор эксплойта, инцидент обнажает хрупкость даже проверенных смарт-контрактов и поднимает насущные вопросы об устойчивости децентрализованных рынков кредитного плеча, где GMX долгое время была доминирующим игроком. Путь злоумышленника к выводу 40 миллионов долларов из пула V1 GLP от GMX был тревожно простым, но разрушительно эффективным. По словам аналитиков блокчейна, эксплойт включал в себя манипулирование механизмом кредитного плеча протокола для выпуска чрезмерного количества токенов GLP без надлежащего обеспечения. Как только злоумышленник искусственно завысил свою позицию, он погасил мошенническим путем выпущенные GLP для получения базовых активов, оставив пул с дефицитом более 40 миллионов долларов в считанные блоки. Средства не оставались бездействующими в течение длительного времени. По данным Cyvers и Lookonchain, злоумышленник использовал вредоносный контракт, финансируемый через Tornado Cash, чтобы скрыть происхождение эксплойта. Примерно 9,6 миллиона долларов из предполагаемых 42 миллионов долларов были переведены из Arbitrum в Ethereum с использованием протокола межсетевой передачи Circle, а части быстро конвертировались в DAI. 🚨ВНИМАНИЕ🚨Наша система обнаружила подозрительную транзакцию с участием @GMX_IO. Вредоносный контракт, развернутый адресом, финансируемым через @TornadoCash, использовал примерно 42 миллиона долларов активов в сети Arbitrum (#ARB), включая: $ETH, $USDC, $fsGLP, $DAI, $UNI,… pic.twitter.com/x3B5OFMcyP Слитые активы включали ETH, USDC, fsGLP, DAI, UNI, FRAX, USDT, WETH и LINK, что делает это многоактивным ударом, охватывающим как нативные, так и синтетические токены. До взлома контракты V1 от GMX были проверены ведущими аудиторскими фирмами. Предварительный аудит Quantstamp оценил основные риски, такие как повторный вход и контроль доступа, а ABDK Consulting провела дополнительные стресс-тесты. Тем не менее, ни один аудит не выявил конкретный вектор манипулирования кредитным плечом, который позволил осуществить этот эксплойт. Этот недосмотр подчеркивает повторяющееся слепое пятно в безопасности DeFi: аудиты, как правило, сосредоточены на общих уязвимостях, но часто упускают из виду логические недостатки, специфичные для протокола. По иронии судьбы, GMX имела упреждающие меры безопасности, включая программу вознаграждения за обнаружение ошибок в размере 5 миллионов долларов и активный мониторинг со стороны таких фирм, как Guardian Audits. Этот эксплойт не просто подрывает GMX, он ставит под сомнение парадигму безопасности, основанную на аудите, в целом. Если протокол, такой зрелый и проверенный в боях, как GMX, может потерять 40 миллионов долларов из-за логической ошибки, последствия для менее тщательно проверенных проектов вызывают глубокую обеспокоенность. Между тем, ончейн-обращение GMX к хакеру, предлагающее 10% вознаграждение за возврат средств, подчеркивает суровую реальность DeFi: усилия по восстановлению часто зависят от переговоров со злоумышленниками.