GMX украли на 40 миллионов долларов: еще одно напоминание об иллюзии безопасности в DeFi

Еще одна так называемая децентрализованная криптобиржа пострадала от многомиллионной атаки из-за уязвимости в своих смарт-контрактах, что вызвало комментарии об «иллюзии безопасности в DeFi».

На этот раз настала очередь GMX: в среду злоумышленник похитил токены GLP на сумму около 40 миллионов долларов из пула GMX V1, работающего на арбитражном блокчейне. Предварительный анализ подтвердил, что атака была направлена именно на V1, поскольку злоумышленник манипулировал расчётом средней цены коротких позиций на V1.

Наш первоначальный анализ сегодняшней атаки GLP, проведённый совместно с нашими партнёрами по безопасности и ведущим аудитором, по-прежнему подтверждает, что вектор атаки специфичен для GMX V1. Манипуляции связаны с расчётом средней цены коротких позиций по V1, а

также… https://t.co/BbcUSaXyq9

неопределенный GMX 🫐 (@GMX_IO) 9 июля 2025 г.

Подробные результаты расследования будут обнародованы сразу после его завершения, однако команда уже ведет переговоры с эксплуататором, предлагая ему 10%-ное вознаграждение за возврат украденных средств.

«Если оставшиеся 90% средств будут возвращены в течение 48 часов, мы обязуемся не предпринимать дальнейших юридических действий», — заявили в GMX. По данным компании PeckShield, специализирующейся на криптобезопасности, из арбитража в блокчейн Ethereum уже были переведены токены на сумму почти 10 миллионов долларов.

Тем временем платформа также настоятельно рекомендовала пользователям отключить кредитное плечо и предпринять дополнительные меры для предотвращения дальнейшего выпуска токена GLP. Однако некоторые пользователи, похоже, испытывают трудности с выполнением этих действий, прося более чётких инструкций или видеоуроков.

Другая команда специалистов по криптобезопасности, SlowMist, подтвердила первоначальный анализ GMX, заявив, что злоумышленник воспользовался уязвимостью GMX, которая позволяла манипулировать ценами коротких торговых позиций, то есть позиций, делающих ставку на снижение цены. По словам специалиста по безопасности, это напрямую влияет на расчёт активов под управлением, что позволяет манипулировать ценообразованием токенов GLP.

Основная причина этой атаки кроется в ошибке проектирования @GMX_IO v1, при которой операции с короткими позициями немедленно обновляют глобальные средние цены коротких позиций (globalShortAveragePrices), что напрямую влияет на расчет активов под управлением (AUM), тем самым позволяя манипулировать… https://t.co/BIMtZAI1s7 pic.twitter.com/BIILFf8Mex неопределенный SlowMist (@SlowMist_Team) 9 июля

«С помощью атаки с повторным входом они успешно открыли огромные короткие позиции, чтобы манипулировать мировыми средними ценами, искусственно завышая цены GLP в рамках одной транзакции и получая прибыль за счет операций по выкупу», — пояснила команда.

Другие эксперты по блокчейну, такие как Сухаил Какар из блокчейна TAC, добавили, что повторный вход — «самый старый трюк в истории» и что «это не мелкая ошибка. Это фундаментальный недостаток».

«Это означает, что злоумышленник мог обмануть контракт, заставив его думать, что он ничего не вывел, и многократно выпускать больше токенов [без надлежащего обеспечения], используя те же самые базовые средства», — сказал Какар , позже добавив, что злоумышленник также «использовал контракт, чтобы выдавать себя за обычного пользователя».

«Подождите, почти 4 года никто этого не понимал, и вдруг один хакер это заметил?» — отреагировал пользователь X @0xSchnitzel на анализ экспертов по безопасности.

В любом случае, как заключил Какар, эта история касается не только GMX, «речь идет об иллюзии безопасности в DeFi», поскольку тот факт, что смарт-контракты проходят аудит, не означает, что они безопасны, и даже многомиллиардные протоколы могут быть взломаны.