Новая угроза в DeFi: как вредоносные пулы ликвидности обманом цитируют Ethereum и пользователей Polygon

Компания Enso, занимающаяся DeFi-инфраструктурой, выявила новый класс вредоносных пулов ликвидности, называемых «токсичными пулами». В отличие от традиционных взломов, которые напрямую похищают средства, эти пулы манипулируют симуляциями транзакций.

Основные выводы

• Отчёт Enso от 16 июля показал «токсичные пулы», которые подделывают котировки, из‑за чего на пуле Curve возникли потери в размере десятков тысяч долларов.
• Эксплойт угрожает DeFi‑фронтендам: один вредоносный хук Uniswap v4 вызвал 99,1% отказов.
• Enso обновила продукт Enso Shield, чтобы выявлять поддельные котировки в 2 различных средах блокчейна.

Тактика «Джекил и Хайд»

Найденный недавно класс вредоносных пулов децентрализованного финансирования ( DeFi) нацелен на базовую инфраструктуру, на которую полагаются криптотрейдеры, чтобы находить лучшие цены, говорится в новом исследовании DeFi‑инфраструктурной компании Enso, опубликованном 16 июля.

Компания называет обманные схемы «токсичными пулами». В отличие от типичных криптовзломов, которые напрямую выводят средства из смарт‑контрактов, эти пулы спроектированы так, чтобы системно обманывать симуляции транзакций. Они возвращают привлекательные, высококонкурентные ценовые котировки, когда криптокошелёк или агрегатор DEX ( DEX) запускает симуляцию, но меняют своё поведение в тот момент, когда транзакция фактически выполняется в блокчейне.

В итоге возникает тонкий, системный слив: трейдеры получают заметно худшие цены исполнения, чем те, что были обещаны котировками, или их транзакции не проходят, при этом в процессе сжигаются сетевые комиссии.

«Наше расследование приводит нас к выводу, что это не просто очередной изолированный эксплойт смарт‑контракта», — сказал Милос Константини, сооснователь и директор по продуктам Enso. «Индустрия годами оптимизировала поиск цен. Наши результаты указывают, что следующая задача — проверка целостности исполнения».

Согласно отчёту Enso, токсичные пулы используют внешние (off‑chain) симуляции «прогона» («dry‑run»), которые кошельки применяют для предварительного просмотра сделок. Вредоносные контракты обнаруживают, когда они работают в режиме симуляции только для чтения, и возвращают искусственно оптимизированную цену. Как только транзакция фактически транслируется в ончейн, пул изменяет свою математическую логику, чтобы исполнить сделку в ухудшенном режиме.

Чтобы оставаться скрытыми от систем безопасности, эти пулы чередуют честные и вредоносные состояния, из‑за чего статические сканеры кода и фильтры по исторической репутации оказываются неэффективными. Такая схема «приманка‑подмена» ухудшает пользовательский опыт и выводит средства пользователей через проваленные транзакции. В одном из кейс‑исследований манипулируемый пул Curve вызвал более 37 000 отменённых сделок, вынудив пользователей сжечь почти $30 000 комиссий gas.

Злоумышленники также эксплуатируют архитектуры модульных бирж следующего поколения. На Polygon вредоносный «хук» — плагин смарт‑контракта, используемый в платформах вроде Uniswap v4 — заманил маршрутизационные системы с фальшивыми курсами, прежде чем довести частоту отказов транзакций до 99,1%.

Выводы по итогам ончейн‑форензики

Исследование, охватившее примерно два месяца ончейн‑форензик‑анализа, объединило данные из исторических архивных узлов, анализ трасс транзакций и проверки смарт‑контрактов. Инженеры Enso при поддержке контактов из крупных DeFi‑протоколов Curve Finance и Oku выявили активные токсичные пулы, работающие в обеих сетях — Ethereum и Polygon.

В одном документированном кейсе на Ethereum манипулируемый пул Curve обработал более 129 000 свапов. Хотя пул выглядел как оптимальный маршрут, он давал худшее исполнение, чем было указано котировками, что привело примерно к $225 000 завышенных котировок.

Кроме того, команда Enso обнаружила несколько контрактов оракулов в блокчейне, развёрнутых тем же оператором для поддержки дополнительных пулов, что указывает на то, что тактика, вероятно, распространена шире, чем два задокументированных случая, и может представлять собой возникающий шаблон для ончейн‑извлечения.

Выявленные факты создают прямой вызов пользовательскому уровню DeFi‑экосистемы. Популярные кошельки, интерфейсы для конечных пользователей и агрегаторы опираются на автоматизированные симуляции, чтобы гарантировать «лучший путь» для сделки пользователя.

В отчёте Enso подчёркивается, что если маршрутизационная инфраструктура не сможет отличать легитимную котировку от подделанной, фронтенды продолжат направлять пользователей в эти ловушки. Это формирует потенциальные юридические и финансовые риски для провайдеров кошельков и операторов интерфейсов, которые обещают «лучшее исполнение», но регулярно выдают токсичные маршруты.

Отвечая на угрозу, Enso объявила, что обновила свой продукт защиты исполнения, Enso Shield, добавив специализированное детектирование токсичных пулов. Инструмент безопасности разработан так, чтобы обходить стандартные методы симуляции за счёт анализа живого ончейн‑контекста, мониторинга истории котировок и использования трасс транзакций для выявления расхождений в исполнении.

Вместо того чтобы обвинять отдельные децентрализованные биржи, Enso призвала более широкую криптовалютную индустрию провести дальнейшие исследования манипуляций симуляциями транзакций.

«Если симуляции транзакций можно подменять, а реальное исполнение рассказывает другую историю», — заявил Константини, — «нам нужны более надёжные способы проверять, что пользователи на самом деле получают».