Платформа запуску мемкоїнів Odin.fun зазнала експлойту ліквідності на суму $7 млн

Хакери викрали 58,2 біткойна BTC$84 459,46, вартістю близько 7 мільйонів доларів, з платформи запуску мемкоїнів Odin.fun у результаті складного експлойту маніпуляції ліквідністю, який пов’язують із хакерськими групами, що базуються в Китаї.

Атака була націлена на автоматизовану систему ринкового формування ліквідності платформі запуску мемкоїнів на базі Bitcoin, яку пізніше співзасновник Боб Боділі описав як таку, що має критичну вразливість.

Блокчейн-дані показують, що резерви біткоїнів платформи впали з 291 BTC до 232,8 BTC менш ніж за дві години під час атаки.

«Сьогодні ми виявили серйозний експлойт у нашому ліквідному AMM, який був впроваджений у нашому останньому оновленні», — повідомив Боділі у дописі в X після атаки. «Декілька зловмисних користувачів, переважно пов’язаних із групами в Китаї, скористалися цією вразливістю, щоб викрасти значну кількість BTC із платформи.»

Зловмисники використали пул ліквідності Odin, вносячи марний токен, такий як SATOSHI, разом із BTC, встановлюючи завищене співвідношення цін у тонкому ринку. Маніпулюючи математикою пулу — часто шляхом самостійної торгівлі або надмірно великих депозитів — вони зробили токен набагато ціннішим у термінах BTC.

Потім вони вивели ліквідність, отримавши великі обсяги реального BTC за фальшивою ціною, вилучивши з пулу 58,2 BTC.

Цей памп-енд-дрейн спрацював, оскільки автоматизовані маркет-мейкери покладаються виключно на внутрішні співвідношення пропозиції, а не на зовнішню перевірку цін, що робить їх уразливими, коли пули є мелкими або недостатньо захищеними.

Боділі повідомив, що інцидент за участю кількох загрозливих акторів, багато з яких пов’язані з китайськими групами, які діяли узгоджено з метою експлуатації вразливості. Порушення було вперше зафіксовано членом спільноти, який помітив незвичайні рухи ліквідності, що спричинило негайне заморожування підозрілих рахунків.

Хоча залишки коштів платформи є «безпечними», Боділі визнав, що казна Odin не є достатньо великою, аби повністю покрити збитки, змушуючи команду готувати те, що він назвав «конкретним планом» для компенсації постраждалих користувачів.

«У нас є ідеї… ми поділимося деталями, щойно вони будуть остаточно узгоджені», – сказав він у X, додавши, що план формується разом із повним аудитом від компанії з безпеки у процесі, який, як очікується, триватиме до тижня.

Команда Odin.fun звернулася до правоохоронних органів США та координує свої дії з Binance і OKX, які залучили китайські влади для відстеження та можливого заморожування вкрадених коштів.

Читайте також: Індійська криптобіржа CoinDCX зазнала хакерської атаки на $44 млн