Компания Aperture Finance сообщила об уязвимости и призвала пользователей отозвать доступ

Aperture Finance подтвердила крупный инцидент безопасности, затронувший её смарт-контракты V3 и V4. По словам команды, злоумышленники использовали уязвимость контракта для хищения средств пользователей. Эксплойт произошёл на нескольких блокчейнах, включая Ethereum, BNB Chain, Arbitrum и Base.

По оценкам трекеров безопасности, общий ущерб составил около $17 млн. Атака не использовала флэш-лоаны. Вместо этого злоумышленники эксплуатировали уже существующие разрешения кошельков. Это значит, что пользователи, ранее одобрившие контракт, оказывались под угрозой, даже если в момент атаки они не проводили активные операции. После обнаружения проблемы Aperture Finance отключила ключевые функции на фронтенде, чтобы остановить новые разрешения и предотвратить дальнейшие потери.

Причины взлома

Ранний анализ показывает проблему с проверкой вводимых данных в затронутых контрактах. Уязвимость позволяла злоумышленникам инициировать произвольные внешние вызовы. В результате контракт мог перемещать одобренные средства пользователей без должной проверки. Этот тип атак направлен на систему разрешений, а не на ликвидность пулов. После того как кошелёк даёт разрешение, контракт может действовать от его имени. Если контракт становится небезопасным, средства пользователей оказываются под угрозой.

Фирмы по безопасности быстро идентифицировали кошелёк злоумышленника. Данные on-chain показывают перевод средств из кошельков пользователей на известные адреса атакующих. Некоторые пользователи сообщали о потерях после подписания, казалось бы, обычных транзакций при управлении своими пулами. Этот сценарий похож на другие случаи «approval drain», зафиксированные в последние месяцы. Он показывает, что даже некостодиальные инструменты могут быть опасны при сбоях логики контракта.

Ответ команды и расследование

Aperture Finance опубликовала срочное уведомление в X. Команда сообщила, что остановила основные функции фронтенда, чтобы заблокировать новые разрешения. Подтверждено, что проект сотрудничает с внешними партнёрами по безопасности для выяснения причины инцидента. Полный постмортем будет опубликован после проверки всех фактов. Дополнительно команда обещала делиться обновлениями по мере продвижения расследования.

Сообщество отреагировало быстро. Некоторые требовали компенсации и планов по восстановлению средств, другие — ускорённого раскрытия технических деталей. Пока что команда сосредоточена на локализации угрозы и защите пользователей. Фирмы безопасности, такие как Blockaid и TenArmor, также предупредили о риске. Инцидент классифицирован как «approval drain», связанный с уязвимостью произвольного вызова.

Что должны сделать пользователи

Aperture Finance призвала всех пользователей немедленно отозвать разрешения для уязвимого контракта в основной сети Ethereum:
0xD83d960deBEC397fB149b51F8F37DD3B5CFA8913

Разрешения можно отозвать через инструменты вроде Etherscan Approval Checker или Revoke.cash. Любой, кто ранее взаимодействовал с Aperture V3 или V4, должен сделать это, даже если сейчас не активен. До подтверждения исправления пользователям рекомендуется избегать любых новых взаимодействий с контрактами Aperture Finance. Новые разрешения могут подвергнуть кошельки дополнительному риску.

Этот инцидент подчёркивает растущую проблему в DeFi. Многие атаки теперь нацелены на логику разрешений, а не на балансы пулов. Правильное управление разрешениями становится столь же важным, как выбор безопасных протоколов. На данный момент главный совет прост: отзывайте доступ, не взаимодействуйте и ждите официальных обновлений команды.