7.4 мільйонів доларів США миттєво зникли, наскільки небезпечна повторна уразливість протоколу Arbitrum

2026-01-14 12:01:28

FutureSwap на Arbitrum знову зазнав атаки. За останніми даними, блокчейн-компанія безпеки BlockSec Phalcon виявила, що цей протокол ліквідності для майнингу був викрадений приблизно на 74 000 доларів США за допомогою ретельно спланованої двоступеневої схеми. Цього разу мова йде не про звичайну атаку з використанням швидких позик або просту помилку параметрів, а про класичну, але небезпечну уразливість повторного входу (reentrancy). Більше того, це свідчить про тенденцію частих проблем з безпекою у DeFi-екосистемі останнім часом.

Як сталася атака

Уразливість повторного входу звучить складно, але насправді це гра на різниці у часі. Атакуючий використовує “пролом” у процесі виконання смарт-контракту.

Процес FutureSwap виглядає так: користувач вносить активи і отримує LP-токени, потім може їх вивести. Але FutureSwap встановив 3-денний період охолодження, щоб запобігти швидкому входу та виходу. Саме тут зловмисник і знайшов свою точку входу.

Вишуканість двоступеневої схеми

Перший крок: атака повторного входу на етапі створення

Зловмисник під час надання ліквідності використав вразливість у функції 0x5308fcb1. Ключовий момент у тому, що ця функція дозволяє повторний вхід у контракт перед оновленням внутрішніх обліків. Атакуючий, поки контракт ще не зафіксував його реальну кількість внесених активів, вже повторно викликав цю ж функцію. В результаті він створив LP-токени, що значно перевищують фактичний внесок.

Простими словами, він вніс 100 доларів, але через уразливість отримав LP-токени, що відповідають 1000 доларам. Це перший крок у “злочинній схемі” — “захоплення чужого майна без витрат”.

Другий крок: уникнення обмежень при знятті

Але цього було недостатньо. 3-денний період охолодження був створений саме для запобігання подібних ситуацій. Атакуючий почекав 3 дні, а потім виконав зняття. Він знищив незаконно створені LP-токени і отримав реальні активи. В результаті він обміняв фальшиві LP-токени на справжні активи.

Таким чином, він завершив крадіжку: від нічого до чогось, від фальшивого до справжнього.

Чому це так небезпечно

Збитки від цієї атаки склали всього 7.4 мільйони доларів, але проблеми, які вона виявила, набагато глибші:

Уразливість повторного входу — це “класичний кошмар” для DeFi. Ще у 2016 році під час атаки на TheDAO ця уразливість спричинила втрату мільйонів доларів. Минуло десять років, але ця вразливість досі шкодить протоколам.
Перегрів охолодження не є панацеєю. FutureSwap думав, що 3-денний період охолодження зможе запобігти швидкому арбітражу, але він не здатен захистити від атаки повторного входу. Адже зловмисник не входить і виходить швидко у період охолодження, а вже під час створення LP отримує надлишкові токени через уразливість.
Це відображає тенденцію останніх проблем з безпекою у DeFi. Напередодні (13 січня) протокол YO Protocol виявив аномальну операцію обміну на Ethereum: з 384 мільйонів stkGHO було отримано лише 122 000 доларів USDC. Хоча це була помилка у налаштуваннях параметрів, а не уразливість, це все одно свідчить про високий рівень ризиків у DeFi.

Висновки для екосистеми Arbitrum

FutureSwap знову зазнав атаки, що свідчить про існуючі раніше проблеми безпеки. Виявлення уразливості повторного входу — це нагадування для всієї екосистеми Arbitrum:

Протоколи ліквідності потребують більш ретельного аудиту безпеки
Захист від повторного входу не можна покладатися лише на простий період охолодження
Смарт-контракти мають дотримуватися порядку “перевірка — застосування — взаємодія”, щоб оновлювати внутрішній стан перед зовнішніми викликами

Підсумки

Хоча збитки FutureSwap були відносно невеликими, вразливість повторного входу, яку вона виявила, є системним ризиком для DeFi. Атакуючий за допомогою двоступеневої схеми спочатку створив надлишкові LP-токени через уразливість, а потім, після періоду охолодження, обміняв фальшиві токени на реальні активи. Це нагадує, що безпека у DeFi ще далека від ідеалу — від помилок у параметрах до технічних уразливостей, ризики всюди. Для користувачів найкращим захистом залишається вибір протоколів із ретельним аудитом.

ARB1,75%

USDC-0,03%

ETH5,16%

Ця сторінка може містити контент третіх осіб, який надається виключно в інформаційних цілях (не в якості запевнень/гарантій) і не повинен розглядатися як схвалення його поглядів компанією Gate, а також як фінансова або професійна консультація. Див. Застереження для отримання детальної інформації.