Protokół pożyczkowy Loopscale działający na Solanie zawiesił działalność po tygodniowej kampanii ataków wymierzonych w jego interfejsy programistyczne (API) oraz Genesis Vaults, które przechowują depozyty użytkowników w SOL i USDC. Według protokołu jego API otrzymywały ponad 30 000 złośliwych żądań dziennie w trakcie trwałej kampanii, którą zespół przypisał wyrafinowanemu atakującemu. Dotknięte vaulty zostały od tego czasu przywrócone, a nie odnotowano żadnych strat w depozytach użytkowników.

Eskalacja zagrożenia skutkuje wstrzymaniem całego protokołu

Loopscale poinformował, że jego systemy bezpieczeństwa wykryły znaczną eskalację kampanii ataków w minionym tygodniu, co skłoniło zespół do wstrzymania aktywności protokołu w celu powstrzymania zagrożenia. Atakujący celowo wymierzyli swoje działania w SOL i USDC Genesis Vaults protokołu, a utrzymująca się aktywność żądań stanowiła część szerszej kampanii przypisywanej wyrafinowanemu atakującemu. Zespół potwierdził zawieszenie po zidentyfikowaniu zwiększonego ryzyka dla bezpieczeństwa. API to warstwa interfejsu, przez którą aplikacje i usługi komunikują się z protokołem, co oznacza, że atak na tym poziomie może zakłócić działanie platformy bez bezpośredniego ingerowania w salda on-chain — co jest spójne z raportem zespołu, że depozyty użytkowników pozostały zabezpieczone przez cały czas.

Protokół ujawnił kampanię w oświadczeniu opublikowanym na X 5 listopada 2026 roku:

Over the past week, Loopscale has been targeted in a sustained campaign by a sophisticated actor, with the protocol APIs receiving more than 30,000 malicious requests per day. All deposited user funds are secured. Earlier, our security systems detected a significant escalation…

— Loopscale (@Loopscale) 5 listopada 2026

Rozbieżność w wycenie kySOL umożliwiła pożyczenie 4 597 SOL

Badacze ujawnili także exploit na wycenę zabezpieczeń z użyciem kySOL, tokena płynnego stakingu wykorzystywanego jako zabezpieczenie w vaultach. Pożyczki zabezpieczone zależą od dokładnej wyceny zdeponowanych aktywów, ponieważ zdolność pożyczkowa jest określana na podstawie tej wyceny — a ilości tokenów są rejestrowane liczbowo, więc błędna interpretacja miejsc dziesiętnych może drastycznie zawyżyć zarejestrowaną wartość pozycji. Ta dynamika stanowiła sedno exploita: atakujący błędnie przedstawił pojedynczy token kySOL jako zabezpieczenie zBTC, a rozbieżność w miejscach dziesiętnych spowodowała następnie gwałtowny wzrost jego zarejestrowanej wartości.

Rozbieżność w wycenie pozwoliła pożyczkobiorcy wypłacić 4 597 SOL przy użyciu błędnie przedstawionego zabezpieczenia. Atakujący następnie przeniósł wypłacone środki mostkiem poza protokół. Według Loopscale błąd klasyfikacji zabezpieczeń zniekształcił proces wyceny vaulta, umożliwiając pożyczkobiorcy dostęp do środków w oparciu o błędnie wycenione zabezpieczenie. Protokół nie wznowił normalnej działalności.

Dotknięte vaulty przywrócone, śledztwo trwa

Pomimo exploita Loopscale potwierdził, że dotknięte vaulty zostały w pełni przywrócone. Zespół oświadczył, że żadne depozyty użytkowników nie poniosły strat i podkreślił, że wszystkie zdeponowane środki pozostały zabezpieczone w trakcie zawieszenia. W praktyce wpływ incydentu miał charakter operacyjny: depozyty zostały przywrócone, mimo że sama platforma pozostawała offline.

Protokół planuje wkrótce ponownie uruchomić swój interfejs, a przywrócenie funkcji spłat oczekiwane jest jak najszybciej. Loopscale oświadczył, że przywrócenie spłat pozostaje priorytetem, ponieważ ma na celu pomóc w zapobieganiu nieprzewidzianym likwidacjom, dopiero co zawieszenie obowiązuje. Normalna działalność pozostanie jednak wstrzymana, dopóki śledztwo nie ustali pełnego zakresu kampanii. Zespół zamierza także wdrożyć dodatkowe wzmocnienie zabezpieczeń przed ponownym otwarciem protokołu, co stanowi część procesu odbudowy. Kamieniami milowymi wyznaczającymi teraz odbudowę są powrót interfejsu, przywrócenie spłat, pełne ustalenie zakresu kampanii oraz prace nad wzmocnieniem zabezpieczeń zaplanowane przed jakimkolwiek ponownym uruchomieniem.

Loopscale zidentyfikował cztery adresy powiązane z atakiem i współpracuje z federalnymi organami ścigania oraz specjalistami ds. bezpieczeństwa. Opublikowane adresy obejmują dwa adresy w formacie Solana i dwa w formacie Ethereum. Zespół nie ogłosił daty pełnego wznowienia działalności.

Drugi incydent związany z wyceną od kwietnia 2025 roku

Najnowszy incydent następuje po wcześniejszym zdarzeniu związanym z wyceną, które dotyczyło tych samych Genesis Vaults w kwietniu 2025 roku, co czyni to drugim zgłoszonym incydentem związanym z wyceną wpływającym na te vaulty od tego czasu. Powtórzenie się zdarzenia poddaje weryfikacji mechanizmy wyceny vaultów — element wykorzystany w incydencie z kySOL — oraz warstwę API będącą celem tegotygodniowej kampanii, podczas gdy zespół kontynuuje prace nad wzmocnieniem zabezpieczeń. Loopscale oświadczył, że będzie nadal udostępniać istotne informacje i ważne aktualizacje w miarę ich dostępności.