$17 Мільйонний збиток виявляє критичний недолік у валідації введення даних у SwapNet та Aperture Finance, що ставить під загрозу безпеку системи та її стабільність. Це свідчить про необхідність негайного перегляду та посилення механізмів перевірки введених користувачем даних для запобігання потенційним атакам і збоям.

26 січня два протоколи DeFi—SwapNet та Aperture Finance—стали жертвами скоординованих атак, у результаті яких було вкрадено сумарно 17 мільйонів доларів із їхніх казначейств. Інженери з безпеки компанії BlockSec, аналізуючи інцидент для Foresight News, виявили спільну, але руйнівну ваду, яка лежить в основі обох зломів: недостатню перевірку вхідних даних у їхніх смарт-контрактах.

Уразливість: слабка перевірка вхідних даних відкриває двері

Причина криється у недостатніх заходах безпеки щодо обробки вхідних викликів функцій у жертвенних контрактах. Ця вразливість дозволила зловмисникам виконувати довільні виклики функцій проти контрактів, фактично отримуючи несанкціонований доступ до їхньої внутрішньої логіки. Замість створювати нові експлойти з нуля, зловмисники скористалися більш елегантним підходом — вони використали вже існуючі дозволи на токени, які були надані цим протоколам.

Як існуючі дозволи на токени стали вразливістю

Механізм атаки базувався на фундаментальній схемі DeFi: дозволах на токени. Користувачі регулярно надають смарт-контрактам дозвіл витрачати їхні токени через функцію transferFrom, що є стандартною практикою у взаємодії з децентралізованими біржами та фермерством доходів. У цьому випадку зловмисники використали недоліки у перевірці вхідних даних, щоб видавати себе за легітимні транзакції, викликаючи transferFrom, що призводило до витоку токенів безпосередньо з гаманців користувачів і резервів протоколів. Контракти, неспроможні правильно перевірити, які операції фактично запитуються, виконували ці зловмисні перекази без опору.

Що це відкриває про безпеку DeFi

Інцидент із 17 мільйонів доларів підкреслює, як архітектурні недоліки у дизайні контрактів можуть призвести до катастрофічних втрат. Перевірка вхідних даних — підтвердження того, що параметри функцій є легітимними перед їх виконанням — часто вважається базовим пунктом чеклісту. Однак, як показує аналіз BlockSec, навіть досвідчені протоколи можуть спотикатися на основах. Для ширшої екосистеми DeFi урок є ясним: надійна перевірка вхідних даних — це не опціональна безпека-театральність; це необхідний периметральний захист, який визначає різницю між операційною безпекою та повним компрометом.