Неправильний рівень комісії встановлено у січні. $413K Зникне до квітня.

Singularity_Fi втратила $413K після того, як неправильний рівень комісії Uniswap V3 мовчки зламав її оракул. В той же тиждень на BNB Chain сталася витікання $464K JUDAO.

19 січня адміністратор протоколу Singularity_Fi зареєстрував шість маршрутів оракулів для доходних токенів, використовуючи рівень комісії Uniswap V3 42. Uniswap V3 підтримує лише чотири дійсні рівні комісії: 100, 500, 3000 і 10000.

Згідно з DefimonAlerts у X, кожен виклик factory.getPool( з цим неправильним рівнем повертав address)0(. Прямий шлях ціни мовчки зламався. Жодних сигналів тривоги. Жодних revert.

Динамічний сейф BaseUSDCv3 на Base продовжував працювати. Просто він не мав уявлення, скільки коштів у нього насправді.

Сейф думав, що має $100. Насправді його було більше.

Існували резервні пули WETH, але вони мали нуль ліквідності. Тому VaultTokensLib.totalAssets) рахував лише приблизно ( у простих USDC, що лежали в сейфі. Все інше, реальні доходні токени, зчитувалося як нічого.

Минуло три місяці.

Зловмисник швидко позичив 100 000 USDC у Morpho. Вніс їх у сейф. Майже 99,99% від загальної емісії було створено за цим зламаним співвідношенням. Випуск пройшов без проблем, оскільки оракул повідомляв, що сейф майже порожній.

Після цього настала викупна операція. Токени викуплялися пропорційно до кожного фактичного балансу токенів, незалежно від оракула. Основні доходні токени йшли разом із цим. За даними DefimonAlerts, загальний збиток склав приблизно $413 000. Транзакція видно на Basescan. Оригінальна транзакція налаштування рівня комісії також є в блокчейні, з часом січень.

Singularity_Fi підтвердили інцидент у пості в Telegram. Очікується повний розбір події, згідно з оголошенням самого протоколу.

Це частина погіршувальної тенденції. Збитки у криптовалюті квітня 2026 вже перевищили )мільйонів, і неправильні налаштування оракула — один із повторюваних типів атак.

BNB Chain не чекала своєї черги

Через два дні сталася інша інцидент. Інший протокол. Інша ланцюг. Подібний результат.

DefimonAlerts зафіксували другий випадок у X 28 квітня. JUDAO, токен, що торгується на PancakeSwap із заявленим TVL у $22,3 мільйона, втратив приблизно $464 000 через дефляційний витік LP.

Контракт JUDAO містить спеціальну функцію _update$100 $620 transfer. Два механізми активуються при кожній продажі. Перший — перевірка “isBurnPair”, яка спалює або перераспределяет JUDAO, рівний розміру продажу, безпосередньо з резервів пари, якщо ціна не зросла більш ніж на 5% порівняно з попереднім днем. Другий — механізм sync(), який зливає приблизно 2% резервів JUDAO пари на мертвий адрес і отримує нагороди за майнинг при кожній продажі.

Зловмисник швидко позичив близько 2,3 мільйонів USDT у Moolah. Купив приблизно 5,5 мільйонів JUDAO. Продав частину. Обидва механізми зливу активувалися одночасно.

Резерви пари змінилися. Залишковий JUDAO обміняли назад на значно більше USDT, ніж було витрачено спочатку. Прибуток склав приблизно $205 000 USDT і 36 BNB. За поточними цінами ця частина BNB додає ще близько $22 600. Транзакція зафіксована на BSCScan.

Токен JUDAO не внесений до CoinGecko. Ринкова капіталізація залишається невідомою.

Конфігурація була вразливістю

Жодна з атак не використовувала нову техніку. Ніякого мосту, ніякої маніпуляції управлінням, нічого екзотичного. Помилка у рівні комісії. Дизайн токеноміки, що карає власний пул ліквідності.

Випадок Moonwell на Base раніше цього року йшов за схожим сценарієм — помилка формули оракула, яка залишилася непоміченою, доки не спричинила збитки у $1,78 мільйона. Налаштування мовчки зламуються. Вразливості оголошують про себе.

Адреса контракту оракула Singularity_Fi є публічно доступною. Постраждалий сейф розташований на окремій адресі на Base. Адреса пари LP JUDAO на BNB Chain також є у блокчейні.

DefimonAlerts зазначили, що звіт про Singularity_Fi є попереднім. Офіційний розбір від протоколу ще очікується.