Full Sail взлом оракула связала с потерей клиентских средств в автоматизированных хранилищах: децентрализованная биржа, работающая в сети Sui, указала на возможную компрометацию инфраструктуры Switchboard.
Что произошло с Full Sail
После инцидента команда Full Sail заблокировала ввод и вывод средств. Под удар попали автоматизированные хранилища, где пользователи размещали ликвидность. Для поставщиков ликвидности сейчас особенно важны три вопроса:
- Размер ущерба
- Перечень затронутых хранилищ
- Возможная схема компенсаций
Switchboard, провайдер мультичейн-оракулов, приостановил работу сразу в четырех сетях на языке Move. Последствия для экосистемы выглядят так:
- Aptos: работа Switchboard приостановлена; кредитные рынки и торговые площадки либо остановили операции, либо переходят на альтернативные источники данных.
- Sui: работа Switchboard приостановлена; сервисы с ценовыми потоками Switchboard на базе Move срочно ищут замену.
- IOTA: работа Switchboard приостановлена; под удар попали площадки, завязанные на данные о ценах активов.
- Movement: работа Switchboard приостановлена; часть сервисов временно ограничивает операции или меняет источник данных.
Разработчики отдельно подчеркнули, что Solana продолжает работать в обычном режиме и атака ее не затронула.
Как хакеры использовали цену IOTA
Предварительная проверка показала, что злоумышленники получили доступ к скомпрометированному ключу оракула и через него начали менять данные о цене токена IOTA. Котировки искусственно разогнали вверх, а капитализация монеты на короткое время приблизилась к $10 млн.
Пока завышенная цена отображалась в блокчейне, атакующие выпустили около 4,94 млн стейблкоинов VUSD через протокол Virtue CDP. Этот сервис позволяет брать займы в долларовых стейблкоинах под залог IOTA и stIOTA.
Сбой ударил по 45 клиентам биржи: их позиции были ликвидированы. После этого биржевые адреса заморозили, а протокол Virtue остановили.
Что такое блокчейн-оракул и зачем он нужен
Блокчейн-оракул — это сервис, который передает смарт-контрактам данные из внешнего мира: цены активов, рыночные индексы, результаты событий, данные устройств или случайные числа. Сам смарт-контракт не может напрямую обратиться к бирже, сайту или датчику, поэтому ему нужен посредник, который доставит данные в блокчейн в понятном и проверяемом виде.
Обычно оракул получает информацию из одного или нескольких источников, обрабатывает ее, подписывает результат и публикует его в сети. После этого смарт-контракт использует эти данные для расчета залога, ликвидаций, выплат, торговых операций или других действий.
Взлом оракула — это атака, при которой злоумышленник искажает данные, ключи или механизм публикации цен. В DeFi это особенно опасно: неверная цена может запустить лишние ликвидации, позволить выпустить необеспеченные активы или вывести ликвидность из протокола.
Для DeFi-протокола оракул — не вспомогательный сервис, а часть системы безопасности: ошибка в ценовом потоке быстро превращается в реальные потери пользователей.
Какими бывают оракулы
Оракулы различаются по устройству и источникам данных. Самые важные типы:
- Централизованные оракулы: данные передает один оператор или один источник, поэтому система проще, но сильнее зависит от доверия к этому оператору.
- Децентрализованные оракулы: данные собираются из нескольких источников или узлов, что снижает риск одиночной точки отказа.
- Программные оракулы: получают данные из цифровых источников, например с бирж, API и рыночных сервисов.
- Аппаратные оракулы: передают данные от физических устройств и датчиков.
- Входящие оракулы: доставляют внешние данные в блокчейн.
- Исходящие оракулы: передают события из блокчейна во внешние системы.
В финансовых приложениях оракулы чаще всего нужны для цен активов, расчета залога, ликвидаций и работы производных инструментов. В играх, лотереях и NFT-проектах они могут использоваться для генерации случайных чисел, чтобы результат нельзя было заранее предсказать или подстроить.
Как снижать риск атак на оракулы
Защита обычно строится не на одном приеме, а на сочетании нескольких подходов. Среди базовых методов:
- Децентрализация источников: цена или другое значение берется не из одного канала, а из нескольких независимых потоков.
- Усреднение во времени: протокол использует не мгновенный скачок цены, а среднее значение за выбранный период.
- Проверка отклонений: резкие изменения цены проходят дополнительные ограничения или временную задержку.
- Мультисиг и контроль ключей: важные действия требуют подтверждения нескольких участников, а не одного ключа.
- Резервные источники данных: при сбое основного потока сервис может переключиться на альтернативный.
При интеграции оракула в свой проект сначала выбирают, какие данные нужны смарт-контракту, затем подбирают тип оракула, настраивают частоту обновления, правила проверки отклонений и аварийный сценарий на случай сбоя. Для кредитных протоколов ключевыми будут цены залоговых активов, для торговых площадок — котировки и индексы, для игровых механик — проверяемая случайность.
Распространенные паттерны проектирования оракулов помогают снизить зависимость от одного источника:
- Агрегация данных: несколько источников объединяются в одно итоговое значение.
- Медианная цена: протокол берет медиану, чтобы одиночный выброс меньше влиял на результат.
- Commit-reveal: участники сначала фиксируют значение, а раскрывают его позже, что усложняет манипуляцию.
- Fallback-оракул: при сбое основного источника включается запасной поток данных.
- Порог подтверждений: значение принимается только после подтверждения несколькими независимыми узлами.
Контекст: похожий взлом в экосистеме Sui
В 2025 году крупная децентрализованная биржа Sui, Cetus, уже сталкивалась с похожей атакой на пул ликвидности. Тогда хакеры использовали ошибку переполнения целых чисел в общей математической библиотеке, а потери оценивались примерно в $223 млн.
Позднее валидаторы Sui заблокировали $162 млн из похищенных активов. После этого Cetus смогла восстановить работу, получив кредит на $30 млн в USDC от фонда поддержки сети Sui.
Инцидент с Full Sail снова показал, насколько уязвимыми могут быть DeFi-протоколы при сбоях в оракулах. В блокчейн-инфраструктуре критическое значение имеют:
- Точность имен
- Точность ключей
- Точность ценовых потоков
Новости о биткоин, блокчейне и криптовалютах
Автор: Сoinspot