Протокол USPD только что опубликовал объявление, подтвердив, что подвергся тщательно спланированной атаке.

Метод, использованный хакерами, был весьма скрытным — так называемая "атака CPIMP" (скрытый прокси-сервер среди прокси). Проще говоря, еще на этапе развертывания контракта злоумышленник незаметно получил права администратора прокси-контракта. Более того, он замаскировал себя под нормальную, прошедшую аудит версию и так пролежал в засаде несколько месяцев.

Когда момент настал, была осуществлена атака: было отчеканено примерно 98 миллионов токенов USPD, после чего злоумышленники вывели около 232 stETH.

Ужас данной схемы в том, что она способна пройти аудиторскую проверку, поскольку с виду все выглядит абсолютно нормально. Когда проблема обнаруживается, ущерб уже нанесен.