Протокол New Gold был взломан на 2 миллиона USD из-за уязвимости оракула в BNB Chain

Платформа DeFi New Gold Protocol (NGP) стала жертвой атаки в среду, в результате которой проект понес убытки в размере около 2 миллионов USD. Согласно компании по безопасности onchain Blockaid, хакер использовал уязвимость в механизме price oracle смарт-контрактов NGP.

Способы атаки

• Оракул NGP использует функцию getPrice() для определения цены токена, в которой напрямую ссылается на резервы в торговой паре Uniswap V2.
• Хакер осуществил flash loan с большим объемом токенов, а затем обменял их, чтобы значительно изменить коэффициент резервирования в пуле:

• Запасы USDT резко возросли.
• Резерв NGP значительно сократился.

• Результат: getPrice() сообщает о цене NGP на крайне низком уровне. Это позволяет хакерам обойти ограничения на сделки смарт-контрактов и купить большое количество токенов NGP по низкой цене.

Blockaid считает: "Использование спотовой цены из одного единственного пула DEX крайне опасно, поскольку хакеры могут манипулировать резервами в атомной сделке с помощью флеш-займа."

Последствия

• Хакер вывел около 2 миллионов USD из пула ликвидности NGP.
• Компания безопасности PeckShield обнаружила, что украденные средства были отмыты через Tornado Cash.
• Цена токена NGP затем обрушилась на 88%, почти уничтожив ликвидность проекта.

Контекст

• Это последний случай в цепи атак на DeFi. Всего неделю назад протокол Nemo на платформе Sui также был взломан на 2,6 миллиона USD из-за ошибки в смарт-контрактах, которые не были тщательно проверены.
• Согласно Chainalysis, только в первой половине 2025 года хакеры украли более 2 миллиардов USD из крипто-сервисов, превысив ущерб за аналогичный период предыдущих лет.

👉 Дело подчеркивает риски безопасности от одноточечных оракулов (single-source oracle) и необходимость тщательного аудита перед развертыванием смарт-контрактов.