Aperture Finance сообщает об уязвимости и призывает пользователей отозвать доступ

Aperture Finance подтвердил наличие серьезной уязвимости в безопасности. Это повлияло на его смарт-контракты V3 и V4. Команда заявила, что злоумышленники использовали дефект контракта для вывода средств пользователей. Уязвимость возникла на нескольких блокчейнах, включая Ethereum, BNB Chain, Arbitrum и Base.

Оценщики безопасности оценивают общие потери примерно в 17 миллионов долларов. Атака не использовала флеш-займы. Вместо этого злоумышленники злоупотребляли существующими разрешениями кошельков. Это означает, что пользователи, ранее одобрившие контракт, оказались под угрозой, даже если в тот момент они не торговали активно. После обнаружения проблемы Aperture Finance отключила ключевые функции на своем фронтенде. Этот шаг был предпринят для остановки новых разрешений и предотвращения дальнейших повреждений.

Что вызвало утечку

Ранний анализ показывает проблему с проверкой входных данных в затронутых контрактах. Недостаток позволил злоумышленникам инициировать произвольные внешние вызовы. В результате контракт мог перемещать одобренные средства пользователей без должных проверок. Такой тип атаки сосредоточен на разрешениях, а не на пулах ликвидности. Как только кошелек дает разрешение, контракт может действовать от его имени. Если этот контракт становится небезопасным, средства пользователей оказываются под угрозой.

Фирмы по безопасности отметили кошелек злоумышленника вскоре после эксплуатации. Данные в блокчейне показывают, что средства перемещаются с кошельков пользователей на известные адреса злоумышленников. Некоторые пользователи сообщили о потерях после подписания транзакций, которые казались рутинными, управляя своими пулами. Этот шаблон похож на другие атаки с утечкой разрешений, наблюдаемые в последние месяцы. Он показывает, что даже неконтролируемые инструменты могут стать опасными, когда логика контракта выходит из строя.

Реакция команды и расследование

Aperture Finance разместила срочное уведомление в X. Команда заявила, что остановила основные функции фронтенда для блокировки новых разрешений. Она подтвердила, что сотрудничает с внешними партнерами по безопасности для выяснения причины. Проект обещал опубликовать полный отчет после подтверждения фактов. Также было объявлено, что команда будет делиться дальнейшими обновлениями по мере продолжения расследования.

Сообщество быстро отреагировало. Некоторые потребовали компенсации и планов восстановления. Другие настаивали на более быстром раскрытии технических деталей. Пока команда сосредоточена на локализации и защите пользователей. Фирмы по безопасности, такие как Blockaid и TenArmor, подтвердили предупреждение. Они классифицировали инцидент как утечку, основанную на разрешениях, связанную с уязвимостью произвольных вызовов.

Что должны делать пользователи сейчас

Aperture Finance призвала всех пользователей немедленно отозвать разрешения для уязвимого контракта в основной сети Ethereum: 0xD83d960deBEC397fB149b51F8F37DD3B5CFA8913

Пользователи могут отозвать разрешения через такие инструменты, как проверка разрешений Etherscan или Revoke.cash. Всем, кто взаимодействовал с Aperture V3 или V4 в прошлом, рекомендуется выполнить этот шаг, даже если они больше не активны. Пока команда не подтвердит исправление, пользователям следует избегать новых взаимодействий с контрактами Aperture Finance. Новые разрешения могут подвергнуть кошельки дополнительному риску.

Этот инцидент подчеркивает растущую проблему в DeFi. Многие атаки теперь нацелены на логику разрешений, а не на балансы пулов. В результате гигиена разрешений становится так же важна, как и выбор безопасных протоколов. Пока ясно одно: отзывать доступ, не взаимодействовать и ждать официальных обновлений от команды.