По данным security-компании CertiK, атака с финансированием через flash-loan и манипуляцией оракулом исказила операцию выкупа в CoreVault и опустошила страховой пул протокола InsurancePool, превратив сбой входного ценового параметра в немедленное событие дефицита ликвидности выкупа в сети BNB Smart Chain. Для депозиторов и поставщиков ликвидности ключевой вопрос заключается не только в том, сколько извлёк злоумышленник, а в том, остаются ли путь выкупа, его защитные механизмы оракула и резервный пул безопасно пригодными к использованию, пока протокол устанавливает факты.

Что сообщила CertiK

В предупреждении, опубликованном 4 ноября 2026 года, CertiK Alert сообщила, что атака с финансированием через flash-loan и манипуляцией оракулом увеличила операцию выкупа в CoreVault примерно в 33 раза. Эта цифра является атрибуцией со стороны security-компании и пока не является независимо подтверждённым разбором инцидента со стороны CoreVault. Тем не менее результат выкупа такого масштаба согласуется с получением протокольным расчётом экономически искажённого ценового или конверсионного входного параметра.

CertiK также сообщила, что манипуляция опустошила InsurancePool и что злоумышленник удержал 160,26 BNB — по оценке компании, примерно $112,2 тыс. — после отмены сделки. При эксплойтах с flash-loan позиции открываются и закрываются в пределах окна исполнения одной транзакции, поэтому удержанные средства могут существенно отличаться от общего объёма средств, прошедших через затронутый пул. Если это верно, исчерпание InsurancePool имеет значение далеко за пределами объёма извлечённых средств: резерв, предназначенный для поглощения убытков или поддержки выкупов, больше нельзя считать буфером на случай следующего неблагоприятного события в балансе.

Сообщаемая последовательность событий против подтверждённой картины

Предупреждение CertiK содержит ссылку на предположительную транзакцию эксплойта 0x072a10a579e2a8afa26a681205a2aaaa38f74bcb9d1064b12bd9e9ebe2c598b3 в BscScan. Трейс в обозревателе не удалось независимо прочитать на момент исследования, поэтому полный путь flash-loan, задействованные вызовы оракула, затронутые контракты, движение балансов и заявленная отмена сделки остаются неподтверждёнными по имеющимся данным.

В архитектуре хранилища (vault) оракулу необязательно быть единственным учётным входным параметром, чтобы вызвать серьёзное расхождение при выкупе. Скомпрометированный или недостаточно надёжный входной параметр может исказить стоимость актива или коэффициент конверсии долей, используемый функцией выкупа. Поэтому сообщённое увеличение выкупа является ключевым наблюдаемым сигналом риска, в то время как точная первопричина — зависимость от спотовой цены, устаревшие данные, слабые допущения о ликвидности или иной сбой интеграции — не установлена.

Как flash-loan усиливает риск манипуляции оракулом

Flash-loan — это заимствование в рамках одной транзакции: ликвидность берётся в долг, используется и возвращается до завершения транзакции, иначе всё изменение состояния откатывается. В описанной CertiK последовательности этот временный капитал предположительно обеспечил вес в балансе, необходимый для смещения или использования рыночного условия, значимого для оракула, без необходимости предварительно финансировать всю позицию.

Финансирование атаки — не то же самое, что состояние оракула

Сам займ не является доказательством дефекта оракула. Вопрос безопасности состоит в том, доверяла ли логика выкупа CoreVault цене, показателю глубины ликвидности или конверсионному параметру, которые могли быть экономически изменены в том же атомарном окне исполнения. Сообщённое CertiK увеличение выкупа — это свидетельство аномального результата, а не раскрытое объяснение сбоя контроля.

Это различие важно для поставщиков ликвидности: приостановка доступа к flash-loan, даже если она технически осуществима, сама по себе не устранит небезопасную зависимость оценки. Сообщённое исчерпание InsurancePool вместо этого смещает внимание на порядок распределения убытков в протоколе: пользователям нужно знать, какие обязательства стоят перед оставшимся резервом и был ли пересчитан учёт долей LP или долей хранилища.

Инциденты с манипуляцией ценами вызывали схожие опасения в других частях DeFi, включая сообщённую атаку на денежный рынок Nostra Finance. Отчёт о CoreVault более узок по охвату, но его заявленное влияние на выкуп подчёркивает ту же линию разлома в дизайне протокола: ликвидность, которая кажется доступной при манипулированной оценке, может быть выведена до того, как обычные арбитражёры восстановят цену.

Что пользователям CoreVault следует отслеживать

На момент публикации в записях не было официального заявления CoreVault, раскрытия адресов контрактов, уведомления о приостановке, заявления о влиянии на пользователей или плана устранения последствий. Поэтому пользователям следует считать текущий статус выкупов неизвестным до появления верифицированных коммуникаций протокола или поддающегося атрибуции обновления от security-провайдера, а не делать выводы о безопасности на основании успешной транзакции через интерфейс.

Практический список для мониторинга невелик: доступность выкупа, обновления оракула или ценовых параметров, изменения балансов InsurancePool и послесмертный разбор, определяющий затронутые контракты и план устранения. Два последующих пункта заслуживают равного внимания: подтвердит или скорректирует независимый ончейн-анализ изложение CertiK на уровне транзакции, и решит ли протокол рекапитализировать InsurancePool или реструктурировать то, как резерв обеспечивает выкупы. Сообщённое исчерпание делает эти пункты важнее вторичных рыночных комментариев, поскольку они определяют, сможет ли оставшаяся ликвидность обеспечить выходы по обоснованной справедливой стоимости.

Подтверждённые данные и нерешённые вопросы

Верифицированная картина ограничивается предупреждением CertiK: компания сообщила об увеличенном выкупе, исчерпании InsurancePool и средствах после отмены сделки, тогда как сама транзакция не была независимо разобрана. Утверждения о том, что CoreVault приостановила работу, компенсировала пользователям, обновила контракты или оценила убытки, были бы преждевременными, поскольку подобных заявлений протокола в доказательствах не содержится.

Для более широкого контекста безопасности: панель CertiK с пометкой «последнее обновление 4 ноября 2026» показывала $183,0 млн общих убытков за текущий ключевой период ноября 2026 года. Эта цифра панели — индустриальный контекст, а не атрибуция к CoreVault, но она подчёркивает, почему неподтверждённые уведомления об инцидентах должны всё же побуждать к тщательной проверке экспозиции оракула и контролей вывода средств.

Оценка протокольного риска

Немедленный риск смарт-контрактов сосредоточен на границе «выкуп — оракул» и на доступности InsurancePool после сообщённого исчерпания. Теперь управлению необходимо определить, требуют ли изменения параметры, дизайн оракула, экстренные полномочия или правила распределения резерва; дата следующего голосования по управлению в имеющихся данных не указана. В DeFi в целом укрепление этой границы обычно принимает форму временно-взвешенных средних цен, оракулов с несколькими источниками, проверок отклонений, отклоняющих котировки за пределами заданного диапазона, или контролей вывода, запускаемых обнаружением аномалий — имеющиеся данные не устанавливают, использует ли CoreVault что-либо из этого.

Пока CoreVault не опубликует поддающиеся атрибуции выводы на уровне контрактов, ликвидность остаётся подверженной риску концентрации везде, где единственный маршрут выкупа, ценовая зависимость или резервный пул определяют пропускную способность выхода. Депозиторам и поставщикам ликвидности следует приоритизировать верифицированный статус выкупа и любое одобренное управлением устранение последствий, а не спекулятивные предположения о восстановлении — особенно если протокол подтвердит, что сообщённый аномальный выкуп затронул учёт общего залогового обеспечения.

Эта статья была первоначально опубликована на DefiLiban.