WUSD.fi Атака на Sybil Farming выводит $200K из пулов GLOVE

Атака с симбильным фармингом на WUSD.fi и GLOVE истощила примерно $200K из пулов ликвидности Uniswap V3 на Ethereum. Ни один аудит не обнаружил недостатки механизма вознаграждения.

Кто-то разобрался в математике раньше, чем это сделал протокол. 25 мая один злоумышленник унес примерно $200K из двух пулов Uniswap V3, связанных с протоколами WUSD.fi и GLOVE на Ethereum. Не совсем ошибка в коде контракта. Скорее, случай механизма вознаграждения, который никогда не спрашивал, кому он предназначен.

Исследователь безопасности блокчейна exvulsec отметил инцидент в X, изложив полный ончейн-трейл. Злоумышленник использовал флеш-займ, циклировал через новые кошельки и сбрасывал собранные токены GLOVE в пулы ликвидности, пока никто не заметил.

Механизм, который никто не тестировал на стресс

Внутри контракта WUSD.fi находится функция под названием WUSD._englove. Согласно exvulsec в X, любой новый кошелек, обернувший как минимум 100 WUSD при наличии менее 2 GLOVE, мог вызвать Glove.mintCreditless и получить до 2 GLOVE токенов. Без проверки личности. Без ограничения по скорости. Ничего.

Злоумышленник развернул вспомогательные контракты EIP-7702, взял флеш-займ Morpho USDT, а затем повторял циклы оборачивания и распаковки через новые адреса кошельков. Каждый новый адрес снова подходил. GLOVE продолжал выпускаться.

Собранный GLOVE сразу же отправлялся в пул Uniswap V3. Пул GLO-USDC потерял 11 702 USDC в наблюдаемых утечках. Пул GLO-USDT потерял 8 079 USDT. Обе цифры подтверждены через Etherscan на момент отчета.

Что заметила сообщество

SecureAI в X ясно выразился: уязвимость заключалась не в самом контракте. В механизме вознаграждения. Аудиты обычно смотрят на логику кода. Они редко проводят стресс-тесты экономических стимулов так, как это делает злоумышленник.

Китайский криптоаккаунт aegixe_cn в X назвал это очередной атакой злоупотребления стимулом и предупредил пользователей понять механику протокола, прежде чем вкладывать деньги. Такой напоминание воспринимается иначе, когда $200K уже покинул пул. В этом году количество DeFi-уязвимостей растет, только за май было несколько инцидентов на уровне ликвидности в Ethereum.

Нет манипуляций оракулами. Нет повторных вызовов. Просто функция выпуска токенов, раздающая их любому, кто появляется с новым адресом. Атака продолжалась, пока новые адреса соответствовали требованиям. И они соответствовали, часть схемы, которая обошла DeFi почти на $770M в 2026 году. Согласно отчетам.