Власник Gnosis Safe втратив $7,8 млн у криптовалюті через помилку смартконтракту

Traders Union
Всі новини
Криптовалюти
Власник Gnosis Safe втратив $7,8 млн

Всі новини

Головні новини

Вибір редакції

Акції

Криптовалюти

Економіка

Валюти

Сировинні товари

Бізнес та добробут

«Голоси» ринку

Дарина Пащенко

15.09.2026

Власник Gnosis Safe втратив $7,8 млн у криптовалюті через помилку смартконтракту — Помилка смартконтракту коштувала власнику Gnosis Safe $7,8 млн

Власник криптогаманця втратив близько 2 900 rsETH вартістю $7,8 млн через недолік у механізмі авторизації допоміжного смартконтракту. Дослідники безпеки встановили, що проблема не вплинула на основні контракти Safe, а виникла в сторонньому компоненті, якому користувач надав доступ до активів.

Ця стаття була перекладена з оригіналу. Читайте оригінальну версію від нашого кореспондента тут.

Атака сталася в Ethereum і зачепила гаманець Gnosis Safe. Для автоматизації транзакцій власник дозволив допоміжному контракту переміщувати кошти від його імені — така схема часто використовується, зокрема, для автоматизованої торгівлі.

Переглянути допис у X Завантаження...

Твіт було видалено автором.

Але ми все зберегли 🙂.

Однак перевірку контролю доступу в контракті було реалізовано некоректно. За даними SlowMist і BlockSec, система фактично дозволяла будь-якому користувачеві виконати транзакцію, якщо він указував сам допоміжний контракт як ціль.

Бот перехопив 2 900 rsETH

Скориставшись уразливістю, зловмисник ініціював своп близько 2 900 rsETH через торговий пул, створений лише кількома хвилинами раніше, з практично безвартісним токеном Permissionless Attacker Token. Унаслідок цього гаманець мав віддати ліквідні активи в обмін на токени без реальної вартості.

Однак початковому зловмиснику не вдалося завершити операцію. Автоматизований бот під назвою yoink виявив транзакцію та здійснив front-running, сплативши близько $47 000 за пріоритет.

У результаті бот отримав активи та перевів 2 882 rsETH на окрему адресу. Аналітики підтвердили, що кошти були перехоплені шляхом front-running транзакції початкової атаки.

AstraSec визначила помилкову перевірку авторизації в контракті Multicall як першопричину інциденту. Інші дослідники безпеки також дійшли висновку, що вразливість була не в основних контрактах Safe, а в компоненті, якому власник гаманця самостійно надав довірені дозволи.

Kelp DAO тимчасово заморозила підозрілу адресу

Kelp DAO, емітент rsETH, заявила, що її власні контракти залишилися захищеними, а токен був повністю забезпечений. Після виявлення підозрілої активності проєкт тимчасово обмежив транзакції за участю адреси, яка отримала викрадені активи.

Обмеження було запроваджено на 24 години. У цей період rsETH не можна було переказувати на підозрілу адресу або з неї, поки команда розслідувала інцидент.

Подібний інфраструктурний інцидент раніше стався в Liquid Network. Хакери вивели близько 4 000 BTC вартістю приблизно $320 млн з гаманця, що зберігав Bitcoin для забезпечення LBTC, через що мережа призупинила роботу.

На момент атаки ця сума становила близько 95% резервів Bitcoin Liquid Network, які до інциденту налічували приблизно 4 200 BTC. Частину коштів пізніше повернули після усунення вразливості.

Раніше ми повідомляли, що блокчейн Cronos був повністю зупинений після атаки на Tectonic, найбільший протокол кредитування в його екосистемі. Попередні втрати внаслідок експлойту оцінювалися приблизно в $75 млн.

Цей матеріал може містити думки третіх сторін, жодні дані та інформація на цій веб-сторінці не є інвестиційною порадою згідно з нашим Застереженням. Хоча ми дотримуємося суворої Редакційної неупередженості, цей пост може містити посилання на продукти наших партнерів.