Злам протоколу USPD: втрачено $1 млн у складній атаці

Протокол стейблкоїна USPD втратив близько $1 млн через експлойт проксі-контракту: зловмисники емісували 98 млн токенів і вивели ліквідність. Команда закликає відкликати дозволи й працює над поверненням коштів.

Децентралізований протокол стейблкоїна USPD зазнав складної атаки на безпеку, внаслідок чого було втрачено близько $1 мільйона. Зловмисники скористалися вразливістю під час розгортання проксі-контракту, отримавши адміністративний контроль через атаку типу "CPIMP" (Clandestine Proxy In the Middle of Proxy). Це дозволило їм емісувати близько 98 мільйонів несанкціонованих токенів USPD і вивести приблизно 232 stETH, виснаживши ліквідність протоколу. Експлойт полягав у встановленні тіньового контракту, який пересилав виклики до легітимного, аудованого коду, вводячи в оману користувачів і блок-експлорери. Порушення сталося не через помилки в логіці смарт-контракту, а через компрометацію адміністративних привілеїв під час розгортання. USPD закликає користувачів відкликати дозволи та утриматися від купівлі токена, а також співпрацює з правоохоронцями та дослідниками безпеки для відстеження та повернення вкрадених коштів. Команда запропонувала зловмиснику 10% винагороди за повернення активів. Інцидент підкреслює постійні виклики безпеки в DeFi, особливо щодо управління та адміністративного контролю.