KiloEx втратила $7,4 млн через вразливість в оракулах цін

14 квітня ввечері децентралізовану платформу для торгівлі деривативами KiloEx зламали, викравши близько $7,4 мільйона внаслідок кросчейн-атаки. Про інцидент першими повідомили фахівці з безпеки Cyvers Alerts, зафіксувавши підозрілі транзакції о 22:30 за Києвом.

Злочинці скористалися вразливістю в системі контролю доступу до цінового оракула. Кошти виводилися через блокчейни Base, Taiko та BNB Chain за допомогою гаманця, поповненого через анонімайзер Tornado Cash. Серед викрадених активів — USD Coin (USDC), який потенційно може бути заблокований емітентами.

KiloEx підтвердила факт злому, призупинила роботу платформи та закликала інші проєкти заблокувати гаманець зловмисника. Команда також повідомила про намір запустити програму винагород за допомогу в розслідуванні та пообіцяла оприлюднити детальний звіт про інцидент.

До розслідування залучено фірми з кібербезпеки Seal-911, SlowMist та Sherlock, а також блокчейн-мережі BNB Chain і Manta Network. Викрадені активи, за даними команди, пересували через zkBridge і Meson.

Аналітики PeckShield уточнили, що хакер зміг використати оракул із підробленим курсом: відкрив позицію за ціною ETH/USD у $100, а закрив її за завищеним курсом $10 000 — таким чином отримавши мільйони в одній операції. За оцінками компанії, найбільші втрати були на Base ($3,3 млн), opBNB ($3,1 млн) і BSC ($1 млн).

Цей злам лише поглиблює кризу безпеки в DeFi-секторі. За даними Immunefi, у першому кварталі 2025 року було вкрадено рекордні $1,64 мільярда, з яких $106,8 млн — саме з децентралізованих протоколів.