Трехлетняя ошибка в Radix Engine привела к краже активов примерно на $1,3 млн и остановке сети более чем на 10 дней. Уязвимость появилась в июне 2023 года во время плановой переработки кода, но обнаружить ее удалось только после атаки 31 августа 2026 года.
Злоумышленник провел 26 транзакций и вывел около 458 915 USDC, 72 420 USDT, 61 ETH, 6,35 wBTC, 536 SOL и 32,91 BNB. Средства были переведены через Hyperlane в Ethereum, BNB Chain и Solana, после чего обменяны на ETH. При этом приватные ключи пользователей не были скомпрометированы, а сам мост работал штатно.
Проблема заключалась в механизме авторизации хранилищ. Ошибка позволяла обратиться к чужому vault и выполнить вывод без подписи владельца. Под угрозой потенциально находились аккаунты пользователей, приложения и пулы ликвидности.
После обнаружения проблемы валидаторы скоординированно снизили участвующий в консенсусе стейк, фактически остановив подтверждение новых транзакций. Работа пользователей возобновилась 11 сентября после внедрения исправления. Radix теперь усиливает аудит кода и добавляет дополнительные регрессионные тесты.
по материалам
уникальность
Реклама: 🔥 Хочешь получить Telegram Premium и стать гуру Polymarket? Кликай сюда!
