Смарт-контракт вознаграждений Fluid был взломан, ущерб составил около $215 000

По данным BlackHart, механизм распределения вознаграждений DeFi-проекта Fluid в сети Ethereum подвергся атаке, в результате которой были выведены активы на сумму около $215 000. Fluid использует механизм списка вознаграждений Merkle, инициируемый одним ключом и одобряемый другим. Злоумышленник одновременно завладел обоими рабочими закрытыми ключами, отправил список, в котором вознаграждение предназначалось только ему, а затем завершил процесс получения средств с помощью доказательства с нулевым разглашением.

Украденные активы были получены из трех распределителей вознаграждений и включали 112 883 FLUID, 47 903 GHO и небольшое количество cbBTC, которые впоследствии были обменены на ETH и выведены через Tornado Cash. Рынок кредитования, казначейство, DEX и депозиты пользователей Fluid не пострадали. Команда заменила скомпрометированные ключи и перевела оставшиеся средства вознаграждений примерно за 10 часов, однако в публичном заявлении лишь упомянула о приостановке выплат вознаграждений для проведения обновлений, не раскрывая подробностей об утечке закрытых ключей и понесенных убытках.