Raydium Legacy AMM V3 експлуатували на $1,34 млн через вразливість у карбуванні LP-токенів

Застарілу програму legacy AMM V3 від Raydium було використано для злому приблизно на $1,34 млн після того, як атакувальник зловжив уразливістю в перевірці карбування LP під час дії ліквідності в застарілих пулів Solana. Команда Raydium заявила, що проблема була ізольована в старому контракті AMM V3, який було виведено з експлуатації ще в 2021 році, і не впливав на поточні програми ліквідності платформи чи активних користувачів. Експлойт спустошив п’ять застарілих пулів ліквідності, пов’язаних із legacy-програмою; першопричиною виявили самодостатню валідаційну вразливість, яка стосувалася перевірок LP mint: вона дозволяла атакувальнику маніпулювати логікою пулу через некоректні або фейкові умови для LP-токенів. Інцидент додає до зростаючого переліку збоїв інфраструктури децентралізованих бірж і піднімає питання про те, як DeFi-протоколи керують виведеними з експлуатації контрактами та залишковою ліквідністю.

Attacker Exploits LP Mint Validation Flaw in Five Deprecated Pools

За даними основного внесокувальника Raydium Infra, першопричиною стала самодостатня валідаційна вразливість, що стосувалася перевірок LP mint. Атакувальник міг маніпулювати логікою пулу, використовуючи некоректні або фейкові умови для LP-токенів, що дозволяло виводити кошти з пулів, які більше не мали нести суттєвий ризик для користувачів. Експлойт спустошив п’ять застарілих пулів ліквідності, пов’язаних із legacy-програмою.

Задіяна програма AMM V3 була замінена роки тому, але ті пули, що залишилися, все ще мали достатньо активів, щоб експлуатація була прибутковою. Атакувальнику не потрібно було компрометувати поточні продукти Raydium. Натомість експлойт націлився на вузьку вразливість перевірки в старішій моделі ліквідності.

Raydium Commits Treasury Compensation for Affected Losses

Raydium заявила, що компенсує постраждалі збитки з власної скарбниці (treasury). Команда зазначила, що поточні користувачі Raydium не постраждали, що обмежує негайний ризик «зараження» для децентралізованих фінансів на Solana. Відповідь важлива, адже експлойт стосувався застарілої інфраструктури, а не поточних пулів, орієнтованих на користувачів, але втрата все одно ставить питання про те, як децентралізовані протоколи керують виведеними з експлуатації контрактами, залишковою ліквідністю та ризиком довгого «хвоста» (long-tail) для смартконтрактів.

Фірми з безпеки блокчейну відстежили переміщення атакувальника після спустошення: за повідомленнями, кошти спрямували через KuCoin — міст Solana-to-Ethereum, Tornado Cash і FixedFloat. Цей шлях відмивання показує, наскільки швидко навіть порівняно невеликі експлойти в DeFi можуть стати важкими для відновлення, коли активи переходять через централізовані біржі, мости та інструменти приватності.

Legacy Contracts Pose Ongoing Security Risk in DeFi

Інцидент підкреслює повторювану проблему в децентралізованих фінансах: старі контракти можуть залишатися фінансово релевантними навіть після того, як їх замінюють нові системи. Протоколи часто деактивують ранні версії, але не можуть легко стерти розгорнуті смартконтракти з публічних блокчейнів. Якщо до таких програм залишаються підключеними користувачі, боти або забута ліквідність, «спляча» інфраструктура може стати вектором атаки через роки після того, як активна розробка перейшла в інше русло.

Для DeFi-протоколів деактивація — це, отже, не лише завдання з керування продуктом. Це процес безпеки. Командам потрібно визначити неактивні пули, попередити користувачів, прибрати доступ з фронтенду, відстежувати залишкові баланси та створити чіткі шляхи міграції. За можливості їм також можуть знадобитися аварійні механізми або стимули для виведення ліквідності з застарілих пулів до того, як вони стануть цілями.

Ширший ринковий наслідок полягає в тому, що ризик безпеки DeFi не обмежується лише новими контрактами. Зрілі протоколи несуть історичний код, старі структури ліквідності та legacy-інтеграції, які можуть не отримувати такого ж рівня моніторингу, як актуальні системи. У міру того як DeFi стає більш інституційним, аудитори й інвестори дедалі частіше питатимуть, чи мають протоколи формальні процеси життєвого циклу для безпечного виведення контрактів.

FAQ

What caused the Raydium legacy AMM V3 exploit?

Експлойт стався через вразливість у перевірці карбування LP у застарілих пулах Solana. Атакувальник маніпулював логікою пулу, використовуючи некоректні або фейкові умови для LP-токенів, що дозволило вивести кошти з п’яти застарілих пулів ліквідності, пов’язаних із legacy AMM V3, який було виведено з експлуатації в 2021 році.

How did Raydium respond to the $1.34 million exploit?

Raydium заявила, що компенсує постраждалі збитки з власної скарбниці (treasury). Команда підтвердила, що проблема була ізольована в старому контракті AMM V3 і не впливала на поточні програми ліквідності платформи чи активних користувачів, обмежуючи негайний ризик «зараження» для децентралізованих фінансів на Solana.