Взлом протокола Wasabi вытянул $4,55 млн и выявил риск админ-ключа UUPS

Взлом протокола Wasabi вывел примерно 4,55 млн долларов, что подчеркнуло, насколько быстро безопасность в DeFi может провалиться при компрометации административных контролей. Злоумышленники, по данным, украли приватный ключ EOA «wasabideployer.eth» и использовали систему разрешений, чтобы передать себе единственную роль ADMIN_ROLE. Blockaid сообщает, что эксплойт использовал поток обновления UUPS (grantRole), затем заменил реализации perp-vault и Long Pool на вредоносный код. Средства быстро сняли со следующих хранилищ: - Ethereum-vaults: wWETH, sUSDC, wBITCOIN, wPEPE - Base-vaults: sUSDC, wWETH, sBTC, sVIRTUAL, sAERO, sBRETT Рекомендация пользователям: немедленно отозвать одобрения токенов LP. Инцидент также подтверждает идею, поднятую в взломе Wasabi Protocol, что гибкость UUPS может усугублять последствия при злоупотреблении административными полномочиями. Новый контекст из последующего отчёта: проводится параллель с предыдущими потерями протокола DRIFT (~285 млн долларов) и добавляется, что DRIFT затем был делистингован на Upbit и Bithumb из-за «потери доверия». ETH торгуется примерно по ~2,3k долларов с нейтральным RSI, но продолжающиеся взломы в DeFi могут по-прежнему повышать премию за риск в крипто и краткосрочную волатильность фьючерсов. Для трейдеров это увеличивает важность мониторинга рисков управления/административных ключей в DeFi и сокращения экспозиции к хранилищам с обновляемыми правами.