1,4 миллиона долларов США исчезли за ночь: как непроверенные контракты стали автоматической кассой для хакеров

2026-01-06 02:17:55

Децентрализованная биржа TMX была взломана в непроверенный контракт в сети Arbitrum, что привело к убыткам примерно в 1,4 миллиона долларов. Согласно данным мониторинга CertiK, хакеры систематически истощали USDT, SOL и WETH активы контракта с помощью тщательно продуманных повторяющихся операций. Этот инцидент вновь выявил серьёзно недооценённый риск в экосистеме DeFi: неаудированные контракты — это как разблокированные сейфы, которые ждут, чтобы их вскрыть.

Как это делают хакеры

Метод атаки хакеров не сложный, но удивительно эффективен:

Mint TMX LP-токены для сочетания с USDT
Обмен USDT на USDG
Unstaking TMX LP
Продать USDG для большего количества активов
Повторить описанное в цикле

Ключ к успеху этого «арбитражного цикла» заключается в том, что в логике контракта есть лазейка — хакеры находят разницы в цене или недостатки в механизме обмена, которые могут быть использованы неоднократно. После множества повторений ликвидность в контракте окончательно иссякает.

Почему «Непроверенные контракты»

«Непроверенный» здесь ключевое слово. Это значит:

Подтвердить контракт	Непроверенный контракт
Аудит проводит охранные компании, такие как CertiK, OpenZeppelin и другие	Нет сторонней проверки безопасности
Логика кода проверена профессионально	Уязвимости кода не обнаружены
Относительно прозрачные риски	Риск — это скрытая «шахта»
Высокая стоимость взлома	Низкая стоимость взлома

Согласно последним новостям, многие новые проекты пропускают аудиторскую сессию, чтобы быстро выйти в эксплуатацию. Такой подход может показаться экономией, но на самом деле это ставка на вероятность — ставка на то, что никто не найдёт лазейку. И именно хакер будет тщательно проверять.

Что иллюстрирует это дело?

На первый взгляд, это потеря для TMX. Но более глубокий вопрос таков:

Пользователи DeFi плохо осведомлены о профилактике

Многие занимаются майнингом или торговлей ликвидностью и редко активно проверяют, что контракт был проверен. В отличие от этого, важной причиной, по которой проект Mutuum Finance, упомянутый в соответствующей информации, привлекло более 18 600 держателей, является проведение двойного аудита безопасности Halborn и CertiK. Это резкий контраст.

Недостатки управления рисками стороны проекта

Включение непроверенного контракта само по себе является тревожным сигналом. Если это формальный проект, его следует проверять сразу после завершения функции, а не ждать устранения проблемы.

Стоимость взлома снижается

Каждый раз, когда такая атака оказывается успешной, хакеры накапливают новые «рутины». Следующий непроверенный контракт может столкнуться с аналогичными рисками.

На что обратить внимание дальше

Выпустит ли команда проекта TMX официальное заявление и план компенсаций
Усилит ли сеть Arbitrum предупреждения о рисках новых контрактов
Будут ли украденные активы на сумму 1,4 миллиона долларов отслеживаться и заморожены
Сколько подобных непроверенных контрактов находится под угрозой

Краткое содержание

Основной вывод этого инцидента прост: в DeFi проверка контракта не является опцией, а обязательной. Если проект запускается без формального аудита безопасности, то каждый вовлечённый фонд ставит на уровень кода участника проекта. А хакер — именно самый серьёзный «аудитор кода».

Для пользователей перед участием в любом DeFi-проекте используйте Etherscan, чтобы проверить, есть ли в контракте аудитский отчет от таких организаций, как CertiK или OpenZeppelin, который не требует технического опыта, но может значительно снизить риски. Что касается проекта, стоимость аудита значительно ниже, чем стоимость атаки — 1,4 миллиона долларов — лучший урок.

SOL0,59%

USDG0,02%

На этой странице может содержаться сторонний контент, который предоставляется исключительно в информационных целях (не в качестве заявлений/гарантий) и не должен рассматриваться как поддержка взглядов компании Gate или как финансовый или профессиональный совет. Подробности смотрите в разделе «Отказ от ответственности» .