Протокол стейблкоина USPD только что подвергся хорошо спланированной атаке, и масштаб убытков немал — хакер выпустил дополнительные 98 миллионов долларов в день буквально из ниоткуда, а также забрал 232 stETH.

Атака была редкой: хакеры получили администраторские права при первом развертывании проекта, затем замаскировали вредоносный код под обычную версию и оставались в подсказке месяцами. Вчера вечером я внезапно начал использовать разрешения для прямого управления контрактом, и весь процесс прошёл довольно гладко.

Честно говоря, последствия этого вопроса — это не только проблема самой полиции США. Во-первых, это выявляет реальность, с которой многие не готовы столкнуться — если разрешения утекают на начальном этапе внедрения, сколько бы аудита ни проводилось позже, это бесполезно. Во-вторых, хотя USPD не является крупным, вопросы безопасности в протоколах стейблкоинов всегда снижают доверие рынка ко всей экосистеме DeFi.

Команда проекта отреагировала довольно быстро, сразу же связалась с биржей для заморозки активов и попыталась вести переговоры с хакером, но деньги были переведены, и было очень сложно сказать, сколько можно будет вернуть в будущем.

Это напоминание обычным пользователям:

Не спешите с новыми проектами. Те протоколы, которые только что были запущены и долгое время не тестировались на рынке, несут риски, выходящие далеко за пределы уровня кода, но также и процесс развертывания, надёжность команды и управление разрешениями.

Аудитский отчёт — это не золотая медаль за предотвращение смерти. Многие люди чувствуют себя в безопасности, когда видят «аудит», но аудиты охватывают только определённый диапазон логики кода, и такие разрешения крадутся у источника, и аудит не может их выяснить.

Контроль над позициями — последнее слово. Участвуя в любом DeFi-проекте, вложенные деньги должны быть той частью вашей жизни, которую вы теряете, и не влиять на вашу жизнь. Большие ставки на небольшие проекты — это ставка на удачу.

Открытость DeFi — это преимущество, но проблемы с безопасностью сохраняются. Защита ваших активов важнее, чем стремление к доходу.