Firma bezpieczeństwa CertiK donosi, że atak oracle sfinansowany flash loanem zniekształcił redepcję w CoreVault i opróżnił InsurancePool protokołu, przekształcając awarię danych cenowych w natychmiastowe wydarzenie płynnościowe związane z redepcją na BNB Smart Chain. Dla deponentów i dostawców płynności kluczowe pytanie nie dotyczy jedynie wysokości ekstrakcji atakującego, lecz tego, czy ścieżka redepcji, jej zabezpieczenia oracle oraz pulę rezerwy można nadal bezpiecznie używać, podczas gdy protokół ustala fakty.

Co doniósł CertiK

W alercie opublikowanym 4 listopada 2026 r. CertiK Alert poinformował, że atak oracle sfinansowany flash loanem zawyżył redepcję w CoreVault około 33-krotnie. Ta liczba jest atrybucją firmy bezpieczeństwa, a nie jeszcze niezależnie potwierdzonym post-mortem CoreVault. Mimo to rezultat redepcji takiej skali jest spójny z obliczeniem protokołu otrzymującym ekonomicznie zniekształconą cenę lub dane konwersji.

CertiK podał dalej, że manipulacja opróżniła InsurancePool, a atakujący zatrzymał 160,26 BNB — wyceniane przez firmę na około 112,2 tys. USD — po odwróceniu transakcji. W eksploitach z użyciem flash loanów pozycje są otwierane i zamykane w oknie wykonania pojedynczej transakcji, więc zatrzymane środki mogą znacząco różnić się od brutto środków, które przepłynęły przez dotkniętą pulę. Jeśli dane są accurate, opróżnienie InsurancePool ma znaczenie daleko wykraczające poza rozmiar ekstrakcji: nie można już zakładać, że rezerwa zaprojektowana do absorbowania strat lub wspierania redepcji złagodzi kolejne niekorzystne wydarzenie w bilansie.

Doniesiony przebieg zdarzeń a potwierdzony zapis

Alert CertiK odsyła do rzekomej transakcji eksploitowej, 0x072a10a579e2a8afa26a681205a2aaaa38f74bcb9d1064b12bd9e9ebe2c598b3, na BscScan. Ślad z eksploratora nie był możliwy do niezależnego odczytania w czasie researchu, więc pełna ścieżka flash loanu, wywołania oracle, dotknięte kontrakty, przepływy sald oraz deklarowane odwrócenie transakcji pozostają niepotwierdzone na podstawie dostępnych dowodów.

W projekcie vaultu oracle nie musi być jedynym inputem księgowym, aby wywołać poważną niezgodność redepcji. Skompromitowany lub niewystarczająco solidny input może zniekształcić wartość aktywów lub współczynnik konwersji udziałów używany przez funkcję redeem. Zawyżenie redepcji z alertu jest zatem kluczowym obserwowalnym sygnałem ryzyka, podczas gdy dokładna przyczyna źródłowa — zależność od ceny spot, nieaktualne dane, słabe założenia płynnościowe lub inna usterka integracji — nie została ustalona.

Jak flash loan wzmacnia ryzyko manipulacji oracle

Flash loan to pożyczka ograniczona do transakcji: płynność jest pożyczana, wykorzystywana i spłacana przed zakończeniem transakcji, w przeciwnym razie cała zmiana stanu zostaje cofnięta. W opisanej przez CertiK sekwencji ten tymczasowy kapitał rzekomo dostarczył ciężaru bilansowego potrzebnego do poruszenia lub wykorzystania warunku rynkowego istotnego dla oracle, bez konieczności wcześniejszego sfinansowania pełnej pozycji przez atakującego.

Sfinansowanie ataku to co innego niż stan oracle

Samo pożyczenie nie jest dowodem wady oracle. Pytanie o bezpieczeństwo brzmi: czy logika redepcji CoreVault ufał cenie, głębokości płynności lub danym konwersji, które mogły być ekonomicznie wpływowane w tym samym atomowym oknie wykonania. Zawyżenie redepcji zgłoszone przez CertiK jest dowodem nienormalnego wyniku, a nie ujawnionym wyjaśnieniem awarii kontroli.

To rozróżnienie ma znaczenie dla dostawców płynności: wstrzymanie dostępu do flash loanów, nawet jeśli technicznie wykonalne, nie naprawiłoby samo w sobie niebezpiecznej zależności wyceny. Zgłoszone opróżnienie InsurancePool koncentruje zamiast tego uwagę na kolejności alokacji strat protokołu — użytkownicy muszą wiedzieć, jakie zobowiązania stoją przed pozostałą rezerwą oraz czy księgowość LP lub udziałów vaultu została przeliczona.

Incydenty manipulacji cenami wywołały podobne obawy w innych miejscach DeFi, w tym doniesiony atak na rynek pieniężny Nostra Finance. Doniesienie o CoreVault jest węższe w zakresie, ale jego opisany wpływ na redepcję uwypukla tę samą linię uskokową projektu protokołu: płynność pozornie dostępna przy zmanipulowanym oznakowaniu może zostać usunięta, zanim zwykli arbiterzy przywrócą cenę.

Na co powinni zwracać uwagę użytkownicy CoreVault

W zapisie w momencie publikacji nie było oficjalnego oświadczenia CoreVault, ujawnienia adresu kontraktu, komunikatu o wstrzymaniu, oświadczenia o wpływie na użytkowników ani planu naprawczego. Użytkownicy powinni zatem traktować aktualny status redepcji jako nieznany, dopóki zweryfikowane komunikaty protokołu lub atrybuowalna aktualizacja dostawcy bezpieczeństwa nie wskażą inaczej — zamiast wnioskować o bezpieczeństwie z udanej transakcji w interfejsie.

Praktyczna lista monitoringu jest zwięzła: dostępność redepcji, aktualizacje parametrów oracle lub wyceny, zmiany sald InsurancePool oraz post-mortem identyfikujący dotknięte kontrakty i plan naprawczy. Dwa kolejne punkty zasługują na równą wagę: czy niezależna analiza on-chain potwierdzi lub zrewiduje transakcyjne konto CertiK oraz czy protokół zdecyduje się na dokapitalizowanie InsurancePool lub przebudowę sposobu, w jaki rezerwa zabezpiecza redepcje. Zgłoszone opróżnienie czyni te punkty ważniejszymi niż drugorzędowe komentarze rynkowe, ponieważ decydują o tym, czy pozostała płynność może obsłużyć wyjścia po obronialnej wartości aktywów netto.

Potwierdzone doniesienia i nierozstrzygnięte kwestie

Zweryfikowany zapis ogranicza się do alertu CertiK: firma zgłosiła zawyżoną redepcję, opróżnienie InsurancePool oraz zyski po odwróceniu transakcji, podczas gdy sama transakcja nie została niezależnie przeanalizowana. Twierdzenia, że CoreVault wstrzymał działanie, zwrócił środki użytkownikom, uaktualnił kontrakty lub oszacował straty, byłyby przedwczesne, ponieważ żadne takie oświadczenie protokołu nie znalazło się w dowodach.

Szerszy kontekst bezpieczeństwa: pulpit CertiK, oznaczony jako ostatnio aktualizowany 4 listopada 2026 r., wykazywał 183,0 mln USD łącznych strat za bieżący okres kluczowych wskaźników listopada 2026 r. Ta liczba z pulpitu jest kontekstem branżowym, a nie atrybucją do CoreVault, ale podkreśla, dlaczego niezweryfikowane zawiadomienia o incydentach powinny nadal skłaniać do starannego przeglądu ekspozycji oracle i kontroli wypłat.

Ocena ryzyka protokołu

Bezpośrednie ryzyko kontraktów inteligentnych koncentruje się na granicy redepcja-oracle oraz na dostępności InsurancePool po zgłoszonym opróżnieniu. Zarząd/DAO musi teraz ustalić, czy parametry, projekt oracle, uprawnienia awaryjne lub zasady alokacji rezerwy wymagają zmian; w dostępnych dowodach nie wskazano daty kolejnego głosowania zarządczego. W DeFi wzmacnianie tej granicy przybiera zwykle formę średnich ważonych czasem cen, feedów oracle z wielu źródeł, kontroli odchyleń odrzucających wyceny poza zdefiniowanym przedziałem lub kontroli wypłat uruchamianych przez wykrywanie anomalii — dostępne dowody nie ustalają, które z tych rozwiązań CoreVault obecnie stosuje.

Do czasu publikacji przez CoreVault atrybuowalnych ustaleń na poziomie kontraktów płynność pozostaje narażona na ryzyko koncentracji wszędzie tam, gdzie pojedyncza ścieżka redepcji, zależność cenowa lub pula rezerwy decyduje o zdolności wyjścia. Deponenci i dostawcy płynności powinni priorytetowo traktować zweryfikowany status redepcji oraz jakąkolwiek zatwierdzoną przez zarząd naprawę ponad spekulacyjne założenia o odzyskaniu środków — zwłaszcza jeśli protokół potwierdzi, że zgłoszona nienormalna redepcja wpłynęła na wspólną księgowość zabezpieczeń.

Ten artykuł został pierwotnie opublikowany na DefiLiban.