Arrakis Finance сообщила о потере 2.94 WETH — wrapped ether, токена стандарта ERC-20, погашаемого один к одному за ETH — в результате эксплойта смарт-контракта, нацеленного на механизм учёта mint/burn в Uniswap V3. Подробности инцидента впервые появились в публикации в X от компании по блокчейн-безопасности SlowMist (@SlowMist_Team), в которой были отмечены уязвимости в процессе управления ликвидностью протокола. Этот случай подчёркивает важность надёжных мер безопасности в протоколах DeFi по мере того, как риски ликвидности становятся всё более выраженными.

Как работал эксплойт

Согласно раскрытой информации, инцидент представлял собой атаку «атомный сэндвич» на ликвидность, в ходе которой злоумышленник манипулировал ценами и аккумулировал комиссии, минтя доли против уязвимого состава пула. Этот взлом указывает на отсутствие ключевых защитных механизмов транзакций, вызывая обеспокоенность у поставщиков ликвидности и пользователей в отношении потенциальных рисков в экосистемах децентрализованных финансов.

Целевой механизм учёта лежит в самом сердце управления ликвидностью на основе хранилищ (vault). Uniswap V3 представила концентрированную ликвидность в мае 2021 года, позволив поставщикам распределять капитал по конкретным ценовым диапазонам, а не по всей кривой, — выше эффективность капитала, но ценой необходимости активного управления позицией. Arrakis автоматизирует эту задачу, объединяя депозиты пользователей в позиции хранилищ, и поскольку вывод средств рассчитывается через mint/burn-вычисления долей, изъяны в этой математике напрямую влияют на то, сколько вкладчики смогут вывести. Отраслевая практика защищается от подобных манипуляций с помощью лимитов проскальзывания и проверок минимальной доли или минимальной ликвидности, встроенных в контракты хранилищ.

Эксплойт произошёл на фоне того, как более широкий крипторынок борется с противоречивыми сигналами, что усиливает царящую неопределённость. Хотя 2.94 WETH — скромная сумма на фоне девятизначных потерь в некоторых из крупнейших эксплойтов DeFi, схема долей mint/burn распространена в продуктах на основе хранилищ, поэтому подобные раскрытия пристально отслеживаются. По мере того как участники рынка осмысливают эти события, ожидается, что внимание сместится к тому, как протоколы устраняют подобные уязвимости, чтобы восстановить доверие пользователей.

Обзор рынка

Торговая активность Arrakis Finance сейчас находится на низком уровне: за последние 24 часа объём не зафиксирован — подобная пассивность свидетельствует об осторожности инвесторов после эксплойта. Инцидент может отпугнуть новую ликвидность от входа в протокол, что в долгосрочной перспективе повлияет на его операционные возможности и рыночное восприятие.

Arrakis Finance работает в сфере децентрализованных финансов, предлагая решения для ликвидности на основе автоматизированного маркет-мейкинга. Эксплойт относится к юрисдикции регулирования криптовалют, цель которого — защитить инвесторов и обеспечить добросовестность протоколов DeFi. По мере роста DeFi регуляторный надзор может усилиться в целях предотвращения подобных инцидентов.

Что дальше

Наблюдатели рынка сосредоточены на том, как Arrakis Finance планирует устранить выявленные уязвимости и восстановить доверие. Реакции на инциденты в DeFi обычно следуют узнаваемому сценарию — технический пост-мортем, исправления контрактов, повторные аудиты, а в некоторых случаях программы bug-bounty, — и каждый из этих шагов предоставит ощутимые доказательства устранения проблемы. С учётом серьёзных проблем с ликвидностью впереди внимание будет сосредоточено на развитии мер безопасности протокола и потенциальных партнёрствах, способных укрепить его инфраструктуру. Реакции поставщиков ликвидности также станут ключевым индикатором траектории восстановления протокола.