Swell, протокол ликвидного стейкинга Ethereum, приостановила депозиты и выводы токенов swETH и rswETH после того, как контракты начали сообщать обменные курсы значительно выше нормального уровня. Об остановке было объявлено утром в пятницу, 23 октября, и обе функции остаются закрытыми, пока команда работает над исправлением курсов.

Ликвидный стейкинг позволяет пользователям размещать ETH в стейкинге, получая взамен обращаемый токен, а swETH и rswETH — это, соответственно, токены ликвидного стейкинга и ликвидного рестейкинга Swell. Каждый из них имеет обменный курс, который растёт по мере начисления стейкинг-вознаграждений, и именно этот курс определяет, сколько ETH перемещается в контракты и из них при депозитах и выводах.

Заявленный курс контракта swETH вырос примерно на 6% выше последнего корректного значения, а курс rswETH — примерно на 5% выше нормы. Swell заявила, что ни один ETH не покинул затронутые контракты, однако причина не подтверждена, и сроки возобновления депозитов и выводов не названы.

Обменные курсы превышают нормальный уровень

Swell объявила о приостановке в 2:39 по восточному времени США в пятницу и сообщила, что следующий шаг — возврат стоимости чистых активов (NAV) обоих токенов к корректному уровню. Депозиты и выводы останутся закрытыми до этого момента. Курсы подобных токенов обычно растут медленно, по мере начисления стейкинг-вознаграждений, поэтому показатели на несколько процентных пунктов выше последних корректных значений сразу бросились в глаза.

В 16:48 по восточному времени считывание данных контрактов, выполненное Unchained, показало курс swETH около 1,203 ETH, а rswETH — около 1,138 ETH. Аналитик в сети Spreek ранее определил последние корректные курсы как 1,133 ETH и 1,082 ETH соответственно.

На децентрализованных биржах swETH торговался около 1,089 WETH в пуле Uniswap с ликвидностью около 143 000 долларов, тогда как rswETH менял руки около 1,029 WETH на Curve. Обе рыночные цены ниже курсов, сообщаемых контрактами.

По данным DefiLlama, в swETH хранится около 29 млн долларов совокупной стоимости, а в токене rswETH — примерно столько же. Поскольку оба токена также торгуются и обращаются на внешних рынках, экспозиция выходит за рамки собственных контрактов протокола. Swell пока не давала рекомендаций по торговле или предоставлению ликвидности для какого-либо из активов.

Подозрение на компрометацию администраторских ключей, причина не подтверждена

Spreek опубликовал в среду, 21 октября, сообщение о том, что администраторские ключи обоих токенов, судя по всему, были скомпрометированы. Администраторские ключи определяют, кто может обновлять смарт-контракты проток, а мультисиг требует одобрения нескольких авторизованных подписантов до проведения любой транзакции. Он написал, что NAV в тот момент росла «максимум на 1% (без обеспечения) в час». Он также выявил четыре вредоносных контракта обновления, способных изъять около 2500 ETH, хотя ни один из них не был поставлен в очередь через мультисиг Swell.

Одиссей, основатель Phylax Systems, описал инцидент как «злоупотребление BOT-ключом» и добавил, что хранящиеся 2513 ETH — «это НЕ подтверждённый убыток». Его комментарии появились вскоре после первого предупреждения Spreek.

Swell ответила в 23:03 по восточному времени, что сотрудничает с партнёрами по безопасности. Команда заявила, что «ни один ETH не покинул» контракты вывода или депозитов swETH и rswETH, а позднее написала: «Все средства в безопасности». Она также предупредила, что подобные события обычно влекут за собой рост числа фишинговых атак.

Возможная связь с Railway

Оба исследователя указали на возможную связь с Railway — облачной платформой развёртывания, которую разработчики используют для сборки и хостинга приложений. В раскрытии информации от 21 октября Railway сообщила, что «неавторизованная третья сторона» могла получить доступ к чтению некоторых её зашифрованных переменных окружения — распространённого места хранения конфиденциальных учётных данных, таких как API-ключи. В раскрытии Railway не упоминается Swell, и Swell не подтвердила связь между этими двумя событиями.

В отчёте Spreek, который он сам назвал написанным ИИ и не полностью проверенным, отмечается, что Aave, Spark и Fluid не принимали ни один из токенов. На рынке Morpho было доступно к заимствованию около 34 ETH.

На момент последних обновлений функции депозитов и выводов остаются приостановленными, и Swell не назвала сроков восстановления нормальной работы. Открытые вопросы остались теми же, что были подняты с первого предупреждения Spreek: будет ли подтверждена предполагаемая компрометация администраторских ключей, попадут ли четыре отмеченные контрактные обновления в мультисиг Swell и удастся ли исправить заявленные курсы до последних корректных значений — 1,133 ETH для swETH и 1,082 ETH для rswETH — до возобновления выводов и депозитов.