Хакер намайнил $27M в токенах, но спасся, получив всего $132K из пула Meta Pool

Ключевые выводы:

• Хакер использовал функцию быстрого разблокирования Meta Pool.
• Украдено всего $132K, хотя отчеканено $27M.
• Ликвидность и быстрая реакция ограничили потери.

Хакер использовал смарт-контракт Meta Pool, чтобы добыть $27M в токенах, но унес только $132K. Проблемы с ликвидностью и оперативные действия команды ограничили дальнейший ущерб. Вскоре ожидается полное вскрытие.

Эксплойт для Flash заканчивается низким доходом, так как Meta Pool избежал больших потерь

Хакеру удалось использовать уязвимость в смарт-контракте Meta Pool, чтобы заработать токены mpETH на сумму около $27 миллионов. Однако попытка слить средства в основном провалилась: в итоге было украдено лишь около $132 000 в Эфирах.

Инцидент, о котором компания Meta Pool сообщила 18 июня, был связан с целенаправленной атакой на функцию протокола “fast unstake”. Злоумышленник использовал ошибку в функции ERC4626 mint(), что позволило несанкционированно создать токен. Несмотря на большой размер монетного двора, рыночные условия и внутренний контроль ограничили последствия.

Компания PeckShield, специализирующаяся на безопасности блокчейна, определила уязвимость как критический недостаток в механизме майнинга. Она подтвердила, что эксплойт позволяет злоумышленнику создавать mpETH “бесплатно”, но добавила, что низкая ликвидность сильно ограничивает потенциальную прибыль.

Ликвидность и умное реагирование блокируют более широкий ущерб

Злоумышленник успешно отчеканил 9 705 mpETH – цифра, по словам Meta Pool, имеющая теоретическую стоимость, близкую к $27 миллионам. Тем не менее, только 52,5 Ether – стоимостью чуть более $132 000 – были выведены из своп-пулов до того, как путь эксплойта был заблокирован.

Несколько мейннетов Ethereum и пулов на базе Optimism были затронуты, но низкие объемы торгов и ликвидность по эксплуатируемым контрактам ограничили дальнейший слив.

Соучредитель Meta Pool Клаудио Коссио подтвердил, что для чеканки токенов использовалась ошибка разблокировки флэш-памяти. В сообщении на сайте X он отметил, что дефект позволил обойти обычный период ожидания, требуемый после разблокировки.

Обычно криптоактивы, не подвергшиеся разгону, остаются заблокированными в течение некоторого времени, прежде чем станут доступными. Быстрая разблокировка, или “flash-разблокировка”, предназначена для предоставления немедленного доступа при определенных ограничениях. В данном случае этот механизм открыл путь для злоупотреблений.

Своп-пулы нацелены, ставки Ethereum не затронуты

Хакер использовал новоиспеченный mpETH для слива отдельных своп-пулов в Ethereum и Optimism. Однако Meta Pool уточнила, что основные стабфондовые активы Ethereum остались нетронутыми.

“Весь Ethereum, на который были сделаны ставки, находится в безопасности”, – заявила команда, добавив, что узлы-валидаторы в сети SSV продолжают генерировать вознаграждения.

Компания заверила пользователей, что была затронута только своп-ликвидность. Более широкая инфраструктура стакинга и делегированные пользователями ETH оставались в безопасности на протяжении всего инцидента.

Сейчас проводится полное вскрытие. Meta Pool планирует выпустить полный отчет в течение двух дней и реализовать план восстановления. На время расследования эксплуатируемый контракт будет оставаться в режиме паузы.

Meta Pool заявила о своем намерении “возместить активы, потерянные в результате этого инцидента”, и обеспечить “возмещение ущерба пользователям”. Это включает в себя полный аудит затронутых контрактов и усовершенствованные протоколы мониторинга для предотвращения будущих инцидентов.

Более широкая картина использования смарт-контрактов в 2025 году

Инцидент с Meta Pool пополнил растущий список атак на криптопротоколы в 2025 году. Протоколы Blockchain постоянно сталкиваются с угрозами, в частности, из-за несовершенной логики контрактов.

6 июня биткойн-платформа DeFi Alex Protocol потеряла $8,3 млн. после того, как уязвимость в логике проверки саморегистрации позволила плохому игроку слить пулы активов.

Ранее в этом месяце тайваньская криптобиржа BitoPro подтвердила отдельный инцидент, в результате которого с ее горячих кошельков было потеряно 11,5 миллионов долларов. Инцидент произошел 8 мая, но о нем стало известно только 2 июня.

По данным компании CertiK, в 2025 году хакеры украли более $2,1 млрд. на различных криптоплатформах.

Смарт-контракты остаются критической поверхностью для атак. Тактика хакеров все больше смещается от грубой силы к использованию крайних случаев и ошибочных предположений в архитектуре контрактов.

Восстановление и будущие гарантии

Теперь перед Meta Pool стоит задача восстановить доверие пользователей. Быстрое замораживание эксплуатируемого контракта и ограниченный ущерб, вероятно, ослабят беспокойство заинтересованных сторон. Однако теперь команда должна ориентироваться в ситуации после атаки, соблюдая прозрачность.

Этот инцидент, в результате которого под контролем злоумышленников было потеряно более 52,5 ETH и краткосрочно отчеканено 27 миллионов долларов в токенах, подчеркивает важность тщательного аудита кода и мониторинга в режиме реального времени.

Компания заявила, что ее система раннего обнаружения “успешно отметила аномалию”, что помогло инженерам оперативно отреагировать. Такая реакция, вероятно, позволила предотвратить перерастание атаки в более масштабное мероприятие по ликвидации.

Ожидается, что после этого будет проведен полный аудит и обновлены гарантии. Тем временем, контракт на паузу mpETH остается на рассмотрении, поскольку Meta Pool работает над обеспечением долгосрочной защиты пользователей.

Отказ от ответственности

Эта статья предназначена исключительно для информационных целей и не дает никаких финансовых, инвестиционных или иных советов. Автор или любые люди, упомянутые в этой статье, не несут ответственности за любые финансовые потери, которые могут возникнуть в результате инвестирования или торговли. Пожалуйста, проведите свое исследование, прежде чем принимать какие-либо финансовые решения.