WUSD.fi هجوم زائف على الزراعة يستهلك $200K من برك GLOVE

هجوم سيبل على WUSD.fi و GLOVE أدى إلى سحب حوالي $200K من تجمعات السيولة على Uniswap V3 على إيثريوم. لم تكشف أي مراجعة عن خلل في آلية المكافأة.

اكتشف شخص ما الحسابات قبل أن يفعل البروتوكول. في 25 مايو، تمكن مهاجم واحد من سرقة حوالي $200K من تجمعين على Uniswap V3 مرتبطين ببروتوكولي WUSD.fi و GLOVE على إيثريوم. ليس خطأ في رمز العقد بالضبط. هو أكثر حالة لآلية مكافأة لم تسأل أبدًا عن من كانت تكافئ.

حذر باحث أمن البلوكتشين exvulsec من الحادث على X، موضحًا المسار الكامل على السلسلة. استخدم المهاجم قرضًا فوريًا، وتداول عبر محافظ جديدة، وبيع رموز GLOVE التي جمعها في تجمعات السيولة قبل أن يكتشف أحد الأمر.

الميكانيكية التي لم يختبرها أحد

داخل عقد WUSD.fi يوجد وظيفة تسمى WUSD._englove. وفقًا لـ exvulsec على X، أي محفظة جديدة تغلف ما لا يقل عن 100 WUSD مع امتلاك أقل من 2 GLOVE يمكنها استدعاء Glove.mintCreditless والحصول على ما يصل إلى 2 GLOVE من الرموز. لا فحص هوية. لا حد لمعدل الاستخدام. لا شيء.

نشر المهاجم عقود مساعدة EIP-7702، وسحب قرض فوري من Morpho USDT، ثم قام بدورات تغليف وإلغاء تغليف متكررة عبر عناوين محافظ جديدة. كل عنوان جديد كان مؤهلاً مرة أخرى. استمرت عملية إصدار GLOVE.

تم جمع GLOVE مباشرة إلى Uniswap V3. خسر تجمع GLO-USDC حوالي 11,702 USDC في عمليات تصريف مرئية. وتعرض تجمع GLO-USDT لخسارة 8,079 USDT. تم تأكيد كلا الرقمين عبر Etherscan وقت التقرير.

ما لاحظه المجتمع

قال SecureAI على X ببساطة: الاختراق لم يكن في العقد نفسه. كان في تصميم آلية المكافأة. المراجعات تركز عادة على منطق الكود. نادرًا ما يختبرون مسارات الحواف الاقتصادية بنفس طريقة المهاجم.

حذر حساب العملات الرقمية باللغة الصينية aegixe_cn على X من أنه هجوم آخر على استغلال الحوافز، ونصح المستخدمين بفهم آليات البروتوكول قبل وضع أموالهم. هذا التذكير يختلف عندما يكون $200K قد غادر بالفعل التجمع. تراكمت عمليات استغلال DeFi هذا العام، مع مايو وحده الذي شهد عدة حوادث على مستوى السيولة عبر إيثريوم.

لا تلاعب في أوامر البيانات. لا إعادة دخول. فقط وظيفة إصدار تمنح الرموز لأي شخص يظهر بعنوان جديد. استمر الهجوم طالما استمرت العناوين الجديدة في التأهل. وفعلوا ذلك، كجزء من نمط كلف DeFi حوالي $770M في 2026. وفقًا للتقارير.