Попередження про злом DeFi: експлойт смартконтракту Aperture Finance завдав збитків у розмірі $3,67 млн

Публікація Сповіщення про злом DeFi: експлойт смартконтракту Aperture Finance призвів до втрат у $3,67 млн вперше з'явилася на Coinpedia Fintech News

DeFi платформа Aperture Finance зазнала серйозного порушення безпеки, втративши близько $3,67 мільйона через експлойт смартконтракту. Компанія з безпеки блокчейну PeckShieldAlert показує, що хакер активно переміщує вкрадені кошти через Tornado Cash, сервіс конфіденційного мікшування. 

Ця діяльність викликала нові занепокоєння щодо відновлення коштів та того, як насправді стався злом.

Як стався експлойт Aperture Finance

Згідно з PeckShieldAlert, злом Aperture Finance відбувся 25 січня 2026 року через вразливість у його смартконтрактах V3 та V4 у поєднанні з існуючими дозволами користувачів на токени.
На DeFi платформах користувачі часто дозволяють контрактам переміщувати їхні токени ERC-20 або NFT ліквідних позицій, щоб операції та стратегії могли виконуватися автоматично. Але в цьому випадку зловмисник знайшов недолік у тому, як контракт обробляв ці дозволи та виклики функцій.

Замість того, щоб зламувати гаманці або красти приватні ключі, зловмисник використав власну логіку контракту для ініціювання несанкціонованих переказів активів.

Оскільки багато користувачів вже надали дозволи, зловмисник міг переміщувати кошти без потреби в нових підписах. Це дозволило йому вивести активи, прив'язані до схвалених токенів та ліквідних позицій.

Кошти переміщено до Tornado Cash після злому

І все це призвело до вилучення $3,67 мільйона, зловмисник конвертував велику частину в ETH і відправив близько 1 242 ETH до Tornado Cash, щоб приховати слід.

Зловмисники часто використовують сервіси мікшування, такі як Tornado Cash, щоб приховати походження вкраденої криптовалюти та ускладнити відстеження. Кошти були відправлені кількома невеликими транзакціями, включаючи партії по 10 ETH та 100 ETH, що є поширеним методом уникнення уваги.

Користувачів попросили відкликати дозволи на токени та NFT

Після експлойту команда Aperture Finance випустила екстрене повідомлення та поділилася списком постраждалих адрес контрактів. А також попередила користувачів терміново відкликати як дозволи на токени ERC-20, так і дозволи на ліквідні позиції ERC-721, прив'язані до ризикованих адрес. 

Дозволи гаманця дозволяють смартконтрактам переміщувати кошти користувачів, і якщо вони залишаються активними, ними можна зловживати після компрометації контракту.