ZachXBT повідомив: проєкт BSC 'GANA Payment' постраждав від експлойту на $3,1 млн

Огляд експлойту GANA Payment

Дослідник безпеки блокчейну ZachXBT повідомив про серйозний інцидент безпеки, який зачепив GANA Payment — криптовалютний проєкт на BNB Smart Chain (BSC). Внаслідок експлойту втрати склали понад $3,1 млн, що стало ще одним випадком у сфері безпеки блокчейн-індустрії.

Атака продемонструвала складні методи, які застосовують зловмисники у криптосекторі. Після крадіжки атакувальник відмив значну частину викрадених коштів через Tornado Cash — протокол конфіденційності на мережах BSC і Ethereum. Близько $1 млн активів залишаються нерухомими на блокчейні Ethereum, очікуючи потенційного переміщення з боку експлойтера.

Згідно з деталями, які ZachXBT оприлюднив у Telegram-каналі, експлойтер систематично об’єднав викрадені активи на адресі 0x2e8****5c38. Далі він вніс 1 140 токенів BNB вартістю приблизно $1,04 млн у Tornado Cash у мережі BSC. Це типовий метод відмивання, який використовують хакери для приховування сліду викраденої криптовалюти.

Складність атаки зросла, коли зловмисник перемістив додаткові кошти в мережу Ethereum. За допомогою кросчейн-транзакції атакувальник перевів ще 346,8 ETH на суму $1,05 млн через міксер Tornado Cash. Однак аналіз блокчейну показує, що 346 ETH досі залишаються без руху на адресі 0x7a503****b3cca, що може свідчити про очікування подальшого переміщення для уникнення виявлення.

Цей інцидент підкреслює постійні виклики щодо підтримки надійної безпеки блокчейн-проєктів. Використання протоколів конфіденційності, як-от Tornado Cash, демонструє, як злочинці застосовують легітимні інструменти для незаконних цілей, ускладнюючи повернення коштів і розслідування.

Технічний аналіз: маніпуляція власністю контракту

Компанія з безпеки блокчейну HashDit провела експрес-аналіз інциденту після фіксації підозрілої ончейн-активності. Дослідження оперативно ідентифікувало ключову вразливість, яка дозволила атаку: несанкціоновану зміну структури власності контракту GANA.

Суть експлойту полягала у зловмисній зміні параметрів власності смартконтрактної інфраструктури GANA. Отримавши несанкціонований контроль над основними функціями власності, хакер здобув адміністративні привілеї над стейкінговим механізмом протоколу. Це дозволило маніпулювати ставками розподілу винагород, що підірвало цілісність стейкінгової системи.

Технічна реалізація атаки включала декілька складних етапів. Спочатку зловмисник скористався вразливістю власності для контролю над ключовими функціями контракту. Після цього він багаторазово викликав функції відкликання стейкінгу, щоразу отримуючи значно більше токенів GANA, ніж передбачалося за стандартних умов. Маніпуляція механізмом розрахунку винагород дала змогу хакеру отримувати значно більше токенів, ніж легітимні користувачі.

Отримавши надлишкові токени, атакувальник здійснив скоординований продаж на децентралізованих біржах, конвертуючи викрадені токени GANA у більш ліквідні криптовалюти, такі як BNB і ETH. Це було необхідно для наступної фази відмивання, оскільки великі криптовалюти мають кращу ліквідність і більше варіантів для переміщення коштів.

На завершальному етапі отримані кошти були проведені через Tornado Cash. Ця служба міксингу розриває ончейн-зв’язок між адресами джерела й одержувача, що значно ускладнює відстеження викрадених коштів.

HashDit опублікувала термінове попередження, закликавши користувачів негайно припинити торгівлю токенами GANA до появи офіційних рекомендацій і впровадження необхідних патчів безпеки. Компанія наголосила, що подальша взаємодія із скомпрометованим контрактом підвищує ризики для користувачів.

Цей експлойт доповнює перелік інцидентів безпеки на BSC, хоча мережа демонструє покращення безпекових показників. За спільним аналізом BNB Chain і Hacken, загальні втрати екосистеми скоротилися на 70% — з $161 млн у 2023 році до $47 млн у 2024 році. Незважаючи на це та впроваджені протоколи безпеки, поодинокі атаки на зразок GANA залишаються викликом для захисних механізмів мережі.

Раніше інциденти на BSC допомагають зрозуміти динаміку загроз. Зокрема, у вересні було здійснено фішинг-атаку, внаслідок якої користувач Venus Protocol втратив $13,5 млн після схвалення шкідливої транзакції. Основні смартконтракти Venus Protocol не постраждали; втрати пов’язані з соціальною інженерією на рівні користувача.

Крім того, платформа мем-коїнів Four.Meme втратила $183 000 під час ринкової волатильності. Атака, ймовірно, використала "sandwich attack" (маніпулювання ціною між транзакціями), що призвело до втрати близько 125 BNB на фоні турбулентності з токеном Test.

Оголошено план відновлення та старт розслідування

Команда розробників GANA швидко відреагувала на інцидент, опублікувавши офіційну заяву щодо зовнішньої атаки на інфраструктуру контрактів. Підтверджено, що несанкціоновані особи отримали доступ і вивели користувацькі активи через експлуатацію вразливостей контракту.

У відповідь команда визначила негайний план дій. Залучено незалежну компанію з безпеки, що спеціалізується на блокчейн-форенсиці й захисті смартконтрактів. Мета партнерства — провести повне екстрене розслідування: аналіз вектора атаки й точок входу, ідентифікація конкретних вразливостей і оцінка впливу на користувачів та інфраструктуру протоколу.

Стратегія відновлення включає кілька ключових етапів. Проєкт зобов’язується здійснити повний перезапуск системи із картуванням усіх адрес користувачів та їхніх рівнів доступу. Такий аудит має гарантувати відсутність залишкових вразливостей перед відновленням роботи.

Команда GANA офіційно вибачилась перед постраждалими користувачами за незручності й фінансові втрати, спричинені інцидентом. Вона гарантує прозору комунікацію під час відновлення та найближчим часом опублікує детальні плани відновлення, компенсаційні механізми та графік реалізації через офіційні канали.

Час експлойту примітний тим, що він стався після періоду низької активності інцидентів безпеки у криптоіндустрії. За інформацією PeckShield, за нещодавній місяць зафіксовано найнижчі втрати — лише $18,18 млн у 15 випадках, що на 85,7% менше, ніж $127,06 млн у попередньому місяці.

Однак експерти з безпеки попереджають, що навіть за позитивної динаміки зловмисники продовжують вдосконалювати методи атак так само швидко або швидше, ніж протоколи зміцнюють захист. Складність експлойту GANA ілюструє цю постійну гонку між нападниками й захисниками.

Інцидент з GANA відбувся незадовго після ще масштабнішої атаки на Balancer Protocol. Під час нещодавнього випадку Balancer зазнав втрат понад $128 млн у кількох мережах. Атакувальник скористався вразливостями Balancer V2 Composable Stable Pools, пов’язаними з некоректною перевіркою дозволів і обробкою callback-функцій у смартконтрактах. Значні активи були виведені за лічені хвилини, після чого кошти були відмиті через Tornado Cash за аналогічного сценарію, як у випадку з GANA.

Попри те, що ліквідний стейкінговий протокол StakeWise повернув $19,3 млн в osETH через екстрений контрактний виклик і зменшив чисті втрати Balancer до приблизно $98 млн, інцидент суттєво позначився на ринку. Загальна заблокована вартість (TVL) Balancer впала з $442 млн до $214,52 млн за один день, що свідчить про серйозне падіння довіри до DeFi-протоколів внаслідок інцидентів безпеки.

Усі ці випадки підкреслюють критичну важливість якісних аудитів безпеки, систем безперервного моніторингу та швидкого реагування на інциденти для блокчейн-проєктів децентралізованих фінансів.

FAQ

Як злочинці використали експлойт на $3,1 млн у проєкті GANA Payment?

Експлойт був спрямований на вразливості смартконтракту GANA Payment у BSC, що дозволило зловмисникам вивести кошти через атаки повторного входу й несанкціоновані перекази токенів, унаслідок чого втрати склали $3,1 млн.

Який вплив цієї вразливості безпеки BSC-проєкту на кошти користувачів?

Експлойт на $3,1 млн безпосередньо поставив під загрозу активи користувачів у GANA Payment. Постраждалі негайно втратили кошти. Вразливість дозволила зловмисникам вивести ліквідність із пулів і залишків користувачів. Серед невідкладних заходів — перевірка безпеки гаманців та моніторинг можливого відновлення коштів через аналіз блокчейну.

Як виявити й оцінити ризики безпеки смартконтрактів у DeFi-проєктах?

Перевіряйте аудити від відомих компаній, аналізуйте код на GitHub, звертайте увагу на програми пошуку багів, перевіряйте кваліфікацію розробників, вивчайте історію розгортання контракту, оцінюйте глибину ліквідності й слідкуйте за відгуками спільноти щодо проблем.

Як команда GANA Payment відреагувала на інцидент безпеки?

Команда GANA Payment негайно розпочала реагування на інцидент, призупинила роботу уражених смартконтрактів і залучила аудиторів безпеки для розслідування експлойту на $3,1 млн. Команда прозоро спілкувалася з користувачами та працювала над заходами відновлення й підвищення безпеки для запобігання подібним вразливостям у майбутньому.

Як інвесторам убезпечити себе від ризиків вразливості у блокчейн-проєктах?

Інвесторам варто замовляти аудити смартконтрактів у надійних компаніях, диверсифікувати інвестиції між різними проєктами, регулярно слідкувати за оновленнями безпеки, перевіряти досвід і кваліфікацію команди, використовувати апаратні гаманці для зберігання активів і обирати лише проєкти з прозорим управлінням й активними програмами пошуку багів.

Які проєкти екосистеми BSC стикалися з інцидентами безпеки через вразливості смартконтрактів?

У BSC зафіксовано низку інцидентів, зокрема у PancakeSwap (атака через flash loan), Binance Bridge (кросчейн-експлойт), SafeMoon (підозри щодо "rug pull" — раптового виведення активів), а також інші проєкти, що стикалися з вразливостями смартконтрактів та експлойтами, які призвели до значних фінансових втрат.