Уязвимость, приведшая к эксплойту ZetaChain
ZETA$0.0591+8.83% на сумму $334 000, ранее была направлена в программу bug bounty, но команда проекта отклонила отчёт. Злоумышленник воспользовался дырой в смарт-контракте (самоисполняющейся программе на блокчейне), которая оставалась открытой, несмотря на предупреждение исследователя.
Как модераторы отклонили репорт об ошибке
Незадолго до атаки безымянный исследователь безопасности обнаружил критическую ошибку в коде кроссчейн-протокола ZetaChain и подал заявку через официальную программу вознаграждений. Однако модераторы отклонили репорт, посчитав его несущественным. В результате эксплойт был реализован в сети, и злоумышленник вывел средства на сумму более трети миллиона долларов.
По имеющимся данным, уязвимость была связана с некорректной обработкой данных при передаче активов между разными блокчейнами через мост ZetaChain.
Инцидент показал, что даже формально работающая программа bug bounty не гарантирует безопасности, если команда проекта игнорирует сообщения.
Почему пользователи усомнились в компетентности разработчиков
После атаки команда ZetaChain оперативно приостановила работу моста и начала внутреннее расследование. Факт отклонённого баг-репорта вызвал волну критики в сообществе: пользователи усомнились в компетентности разработчиков. На данный момент неизвестно, будут ли возмещены потери пострадавших держателей токенов. Проект пока не опубликовал официального заявления о планах компенсации.
Что означает этот случай для рынка DeFi
Эксплойты кроссчейн-мостов остаются одной из самых болезненных проблем DeFi. Только за последний год совокупные потери от подобных атак превысили $2 миллиарда. Случай с ZetaChain особенно показателен: уязвимость не была скрытой — о ней сообщили заранее.
При выборе протоколов для стейкинга (блокировки монет ради получения дохода) или предоставления ликвидности стоит обращать внимание не только на TVL (суммарную стоимость заблокированных активов), но и на историю аудитов безопасности и скорость реакции команды на отчёты об ошибках.
Вероятно, после этого случая многие проекты пересмотрят процессы обработки баг-репортов, чтобы не повторять ошибку ZetaChain. Останется ли этот инцидент единичным или спровоцирует волну пересмотра политик безопасности?