Injective спря за близо 4 часа след предполагаем пробив за $4.9 милиона

Injective се сблъска със сериозен инцидент в своята система за бинарни опции, след като предполагаем нападател използва уязвимост в механизма за сетълмент и изведе активи за около $4.9 милиона.

Според наличната информация в Х атаката е била насочена към „permissionless“ системата на Injective за създаване и сетълмент на пазари за бинарни опции.

Нападателят е създал 299 краткотрайни пазара, използвайки оракул, конфигуриран така, че да не предоставя необходимата цена при сетълмент.

При липса на валидна цена протоколът преминава към механизъм за възстановяване на средствата. Именно тази резервна процедура е била използвана за извличане на повече обезпечение, отколкото първоначално е внесено.

Анализът сочи, че нападателят е извършвал сделки между собствени подакаунти, заемайки едновременно лонг и шорт позиции. След задействане на механизма за възстановяване на средствата е било възможно да се получи приблизително два пъти първоначално предоставения капитал при отделни цикли.

В един от описаните случаи около 105,000 USDC са позволили тегления за повече от 204,000 USDC.

Проблемът може да е по-дълбок от самия оракул

Първоначалните съобщения свързаха атаката с неактивен, но все още регистриран оракул. Подробности обаче сочат и към потенциален проблем при начина, по който Injective генерира идентификаторите на пазарите.

Отделни параметри се комбинират при създаването на „market_id“, което е позволило да бъде предизвикана колизия между идентификатори, свързани с различни пазари и деноминации. При задействането на процедурата за възстановяване системата впоследствие е могла да третира минимални баланси като достатъчни за покриване на значително по-големи задължения.

Това означава, че липсващата цена от оракула вероятно е била само механизмът за задействане на по-дълбок проблем в логиката за сетълмент, а не единствената причина за предполагаемия експлойт.

Injective спря производството на блокове за 3 часа и 42 минути

Инцидентът съвпада с почти четиричасово прекъсване на основната мрежа. Производството е спряло при блок 181,027,006 около 16:10 UTC на 31 август и се е възстановило с блок 181,027,007 около 19:52 UTC.

Това е важно разграничение, тъй като при възстановяването не е извършен „rollback“ на вече потвърдени транзакции. Мрежата е продължила от следващия блок, след като е била приложена аварийна корекция.

Малко преди пълното прекъсване времето между отделните блокове се е увеличило значително. Последният известен опит за използване на уязвимостта не е приключил успешно, тъй като времето за сетълмент е изтекло по време на забавянето.

Близо $4.9 милиона са достигнали Етериум

Средствата от предполагаемия експлойт са прехвърлени от Injective към Етериум чрез Circle CCTP, след което част от активите са обменени през Uniswap и консолидирани в ETH.

Ончейн данните сочат към приблизително 1,979.8 ETH, оценени на около $4.88 милиона, събрани в един адрес.

Липсата на официален технически доклад от Injective остава ключовата неизвестна. Независимите анализи описват механизма, движението на средствата и прекъсването на блокчейна, но окончателният размер на загубите, точната причина за уязвимостта и обхватът на приложената корекция ще могат да бъдат потвърдени едва след публично обяснение от екипа.

Тук можете да разгледате „Най-добрите крипто борси без KYC през 2026 г.“, където се анализират интересни решения, които позволяват търговия без идентификация. В статията ще откриете кои борси предлагат комбинация от анонимност, ликвидност и сигурност, както и какви са рисковете при употребата.