Гравець X вражений атакою в розмірі $717 тисяч, подібною до PGNLZ

Хвиля експлойтів у світі криптовалют триває, і цього разу жертвою став проект X Player. Згідно зі звітом CertiK Alert, система моніторингу виявила вразливість у механізмі спалювання токенів контракту, яку зловмисник використав для крадіжки приблизно 717 000 доларів. Атака сталася на блокчейн BNB Chain, і зловмисник отримав доступ до коштів шляхом маніпуляцій з пулами ліквідності.

Деталі інциденту показують, що зловмисник використав функцію DynamicBurnPool, яка мала обмежений доступ (власник, стейкінг, адреси спільних вузлів та маркетинг). Однак через помилку реалізації атака дозволила оновити пару токенів та синхронізувати її, що призвело до витоку коштів. У наданому коді видно умову require з перевіркою msg.sender, але, як зазначають аналітики, це створило кілька точок збою, що дозволило витопити весь пул LP. Транзакцію атаки записано на CertiK Skylens:

__КОРОТКИЙ_ТОКЕН_0__

Цей експлойт має разючу схожість з нещодавнім зломом PGNLZ на BNB Chain, де зловмисник використав уразливість "burn pair", виконавши подвійні зворотні транзакції та вкравши близько 100 000 доларів. У випадку PGNLZ зловмисник спочатку вичерпав токени, а потім маніпулював ціною PGNLP, витягуючи USDT з пулу ліквідності. Аналітики CertiK зазначають, що зловмисник X Player має схожість з експлуататором PGNLZ, що може свідчити про того самого хакера або подібну методологію.

Додаткові аналізи спільноти, такі як від Веслі Ванга та n0b0dy, вказують на використання швидких позик для маніпулювання цінами в одній транзакції, що призводить до більших збитків, за деякими оцінками, до 964 600 доларів США. Критики звертають увагу на проблеми контролю доступу: чотири потенційні точки збою у функції, які можуть виснажити пул, є «дикою» помилкою. Це підкреслює необхідність ретельного аудиту смарт-контрактів, особливо в DeFi-проектах.

У ширшому ринковому контексті такі інциденти нагадують нам про ризики в екосистемі BNB Chain, де вже використовувалися подібні вразливості типу "burn pair". CertiK радить розробникам використовувати зовнішні оракули та посилювати перевірки, щоб уникнути подібних атак у майбутньому. Інвесторам: завжди перевіряйте контракти та уникайте підозрілих транзакцій.