TechFlow: взлом Drift Protocol на сумму свыше $200 млн связан с уязвимостью мультиподписи

Как сообщил Cos (Yu Sheng), основатель SlowMist (@evilcos), первопричиной взлома Drift Protocol стала миграция, выполненная неделей ранее, на схему мультиподписи 2/5 без механизма timelock (1 старый подписант + 4 новых). Этим воспользовался злоумышленник: в течение нескольких часов он получил администраторские права, после чего выпустил поддельные токены CVT, манипулировал оракулами, отключил связанные механизмы безопасности и в итоге вывел все активы из пула. Убытки превысили $200 млн. Cos призвал DeFi-проекты оперативно и регулярно проверять экстремальные сценарии риска на случай компрометации приватных ключей владельца/администратора, а также усиливать системы оповещения и реагирования. Пользователям, по его словам, следует ясно понимать, каким потерям средств они могут подвергнуться в экстремальных ситуациях (включая внутренние злоупотребления) при участии в любом DeFi-протоколе, и не входить в них вслепую.