Solido Money подверглась взлому 23 июля 2026 года, в результате чего из протокола было похищено примерно 293,7 млн токенов SUPRA в ходе двух отдельных волн атак. Эксплойт был вызван ошибочной настройкой оракула: он существенно завышал стоимость обеспечения, что позволяло атакующему чеканить токены CASH, обеспеченные коллатералом рыночной стоимостью намного ниже, чем рассчитывала система. В течение нескольких дней после инцидента ончейн-форензика установила трассировку примерно 84% украденных токенов — около 246,9 млн SUPRA — до инфраструктуры централизованных бирж; значительная часть указывала на предполагаемый адрес депозита Gate.io. Блокчейн-безопасность PeckShield подтвердила атаку и отметила, что примерно 90% затронутых средств принадлежали Supra Foundation. Ошибочная привязка оракула создала разрыв в ценообразовании, позволив атакующему превратить ошибку искусственной оценки в реальные токен-активы, подчеркнув базовые уязвимости в том, как DeFi-протоколы присваивают стоимость обеспечению.
Ошибка настройки оракула позволила чеканку 809 052 токенов CASH
Эксплойт не опирался на сложные внедрения кода или новые криптографические атаки. Вместо этого он использовал уязвимость в том, как протокол присваивал стоимость обеспечению. Ошибочная настройка оракула заставила систему считать, что внесённое обеспечение стоит почти 1 доллар США, хотя реальная рыночная цена составляла лишь часть этой величины.
При искусственно завышенной стоимости обеспечения атакующий отчеканил токены CASH далеко за пределами того, что реальное обеспечение могло бы оправдать. Затем эти токены CASH продавались за SUPRA, превращая иллюзию ценообразования в реальные токен-активы. Атака разворачивалась в двух волнах. Первая волна была выполнена в рамках одной атомарной транзакции. Вторая волна пришла спустя несколько часов и вручную повторялась с использованием пяти отдельных кошельков, применяя ту же технику. В совокупности две волны отчеканили 809 052 токена CASH и сгенерировали 293,7 млн SUPRA в чистой прибыли.
В постинцидентном отчёте Solido отмечалось, что одного отключения фронтенда протокола было недостаточно, чтобы остановить вторую волну. Уязвимость существовала на уровне контракта, именно туда в итоге и пришлось применить исправление.
246,9 млн SUPRA прослежены до инфраструктуры централизованных бирж
Примерно 84% украденных SUPRA — около 246,9 млн токенов — были прослежены до инфраструктуры централизованных бирж с помощью ончейн-анализа. Это существенно сужает окно для восстановления, поскольку централизованные платформы хранят ключи к идентификации пользователей способами, недоступными децентрализованным протоколам.
220 млн SUPRA связаны с предполагаемым адресом депозита Gate.io
Для первой волны эксплойта в форензика-отчёте Solido прослежено около 220 млн SUPRA до предполагаемого адреса депозита Gate.io. Протокол отметил, что одних блокчейн-данных недостаточно, чтобы подтвердить, принадлежит ли этот адрес Gate.io: это может проверить только сама биржа. Ещё одна точка взаимодействия с биржей была обнаружена в отношении более поздней волны: средства были внесены во что выглядело как биржевую инфраструктуру, специфичную для клиентов, а затем были перемещены в омыбус-кошелёк.
Эта разница важна. Путь от украденных средств к омыбус-кошелькам бирж — хорошо известный маршрут в кейсах краж криптоактивов: как только активы попадают в омыбус-пул, их гораздо сложнее изолировать без прямого сотрудничества с биржей.
Solido применяет исправления на уровне контракта и просит сотрудничества бирж
Ответ Solido разворачивается по двум параллельным направлениям: публичное обращение к биржам и техническое исправление на уровне контракта.
Solido просит биржи добавить freeze-флаг на помеченные депозиты и сохранить записи
Solido официально попросила биржи подтвердить, принадлежат ли их платформам помеченные адреса, наложить удержания на все прослеженные депозиты и сохранить записи аккаунтов для потенциального использования правоохранительными органами. Протокол заявил, что не просит о всеобъемлющих заморозках на несвязанные аккаунты клиентов и не обвиняет какие-либо биржи в том, что они сознательно способствовали атаке. Запросы адресованы конкретным помеченным адресам, выявленным с помощью ончейн-трейсинга.
Исправления на уровне контракта отключили уязвимый путь чеканки
Были применены исправления на уровне контракта, чтобы отключить путь чеканки, который использовал атакующий. Вторая волна атаки показала, почему ограничения на уровне фронтенда недостаточны, когда базовая логика смарт-контракта остаётся уязвимой. Исправление устраняет первопричину: ошибочную привязку оракула, позволившую переоценить обеспечение.
При оценённых потерях в $900 000 и при том, что TVL протокола после атаки составляет примерно $950 000, путь к восстановлению теперь почти полностью зависит от сотрудничества с биржами.
FAQ
Как произошёл взлом Solido Money?
Атакующий воспользовался ошибочной настройкой оракула, которая существенно завышала стоимость обеспечения внутри протокола, позволяя ему чеканить токены CASH, обеспеченные коллатералом, который стоил намного меньше, чем считала система. Затем эти токены продавались за SUPRA, превращая ошибку ценообразования в реальные токен-выгоды.
Какую долю украденных токенов SUPRA удалось проследить до бирж?
Около 84% от общей суммы украденного — примерно 246,9 млн SUPRA — было прослежено до инфраструктуры централизованных бирж с помощью ончейн-анализа, выполненного Solido Money.
Какие шаги предприняла Solido Money после взлома?
Solido применила исправления на уровне контракта, чтобы отключить использованный атакующим уязвимый путь чеканки, и официально запросила у бирж заморозку помеченных средств, а также сохранение записей аккаунтов для потенциальных процедур со стороны правоохранительных органов.
