Уязвимость в TRON вывела 736 442 USDT из Chainflip

В блокчейне TRON выявлена уязвимость, в результате которой через серию вызовов смарт‑контрактов было выведено 736 442 USDT из протокола Chainflip. Списания коснулись адресов, связанных с мостом и пулом ликвидности протокола.

Атака прошла через контракты в сети TRON: токены в стандарте TRC‑20 были перенаправлены на несколько адресов‑обработчиков транзакций и затем частично перемещены внутри экосистемы. Анализ on‑chain последовательностей показывает, что операции выполнялись автоматизированными вызовами контрактов, а не через доступ к приватным ключам.

Первая серия несанкционированных операций совпадает с быстрыми взаимодействиями между контрактами, в ходе которых общая сумма была разбита на несколько транзакций. По структуре переводов видно использование механизмов, предусмотренных в коде Chainflip для работы с ликвидностью и межцепочными переводами.

Технически инцидент связан с обработкой входящих и исходящих вызовов: цепочка контрактных обращений позволила получить доступ к резервам токенов при отсутствии достаточных проверок прав или корректной логики состояния контрактов. Это дало возможность инициировать повторные и интенсивные списания в обход применяемых протоколом ограничений.

Часть средств была агрегирована на нескольких адресах в сети TRON, с дальнейшими попытками конвертации и перемещений через другие смарт‑контракты. Такие операции усложняют быстрый трекинг окончательных получателей средств.

Chainflip — протокол для кросс‑чейн обменов и мостовых переводов, который использует смарт‑контракты для управления ликвидностью и свопами между сетями. USDT в стандарте TRC‑20 часто применяется для быстрых переводов внутри сети TRON.

Финансовый ущерб оценивается в 736 442 USDT, что примерно соответствует той же сумме в долларах США. Для пользователей Chainflip последствия включают снижение ликвидности на затронутых пулах и повышенные риски при операциях через пострадавшие контракты.

На момент подготовки материала официальных заявлений от команд Chainflip и TRON не поступало. В подобного рода инцидентах практическими мерами являются блокировка адресов, привлечение аналитиков и использование сервисов мониторинга он‑чейн активности для отслеживания маршрутов вывода средств.

Ранее в отрасли фиксировались случаи атак на межцепочные мосты и сложные смарт‑контракты, где ошибки в проверках прав доступа и обработке внешних вызовов приводили к несанкционированным списаниям.