Офіційний сайт Compound знову був зламаний: фішинговий сайт маскує атаку на платформу DeFi для позик, що викликає занепокоєння щодо безпеки

10 березня повідомляється, що DeFi-кредитний протокол Compound Finance знову зазнав атаки на фронтенд, кілька користувачів повідомили про аномалії на офіційному сайті проекту, який перенаправляв на підозрілі фішингові сторінки. Ця подія вважається останнім випадком у серії недавніх захоплень сайтів DeFi-платформ.

За повідомленням команди безпеки проекту на форумі управління, зловмисники підробили домен, схожий на “compOOnd”, створивши фішинговий сайт і перенаправляючи відвідувачів на цю сторінку. Однак команда заявила, що наразі не зафіксовано втрат користувацьких коштів, облікові записи інфраструктури, що постраждали, були повністю замінені, а системний ризик взято під контроль.

Це вже другий випадок за менш ніж два роки, коли фронтенд Compound зазнає подібної атаки. Раніше, у липні 2024 року, кілька доменів DeFi-проектів, розміщених на Squarespace, були масово атаковані хакерами, і сайт Compound також був уражений. Експерти з безпеки зазначають, що з підвищенням автоматизації інструментів фішингу технологічний бар’єр для таких атак знижується.

У цьому випадку, причина, чому кошти користувачів не постраждали, частково полягає у різниці у способах розгортання основних торгових інтерфейсів. За офіційною інформацією, піддомен app.compound.finance, який використовується для підключення гаманців і виконання транзакцій, надає послуги через мережу IPFS, що дозволяє команді безпеки незалежно перевіряти цілісність коду і зменшувати ризик підробки фронтенду.

Хоча ця подія не спричинила фінансових втрат, для протоколу Compound, який раніше був одним із лідерів у DeFi, серія недавніх проблем постійно підриває довіру ринку. За останні роки проект неодноразово стикався з суперечками щодо операційної діяльності та управління. Наприклад, раніше DAO Compound через потенційний конфлікт інтересів із постачальником послуг з управління ризиками Gauntlet піддавався критиці з боку спільноти.

Ще раніше, у 2022 році, помилка у операції призвела до тимчасової зупинки ринку cETH на суму понад 8 мільярдів доларів приблизно на тиждень, доки не було проведено технічне виправлення. Крім того, у процесі оновлення протоколу 2021 року трапилися помилки у розподілі нагород, через що близько 1,5 мільярда токенів були випадково випущені користувачам.

Аналітики зазначають, що з розширенням масштабу DeFi-індустрії безпека фронтенду, захист доменів і прозорість управління стають важливими факторами для довгострокової стабільності протоколів. Для платформ кредитування будь-яка вразливість на рівні сайту може стати ключовим входом для зловмисників у здійснення фішингових атак.