21–22 июля 2026 года протокол 42DAO на BNB Smart Chain принял цену токенизированного биткоина (BTCB) настолько низкой, что все позиции, обеспеченные им, мгновенно стали выглядеть как неплатёжеспособные. Злоумышленники воспользовались этим, чтобы ликвидировать чужие вложения и забрать активы. Протокол не усомнился в цифре ни на секунду.
Введение
42DAO — кредитный протокол на BNB Smart Chain. Пользователи вносят залог — в данном случае BTCB (токенизированный биткоин в сети BNB Smart Chain, привязанный к цене настоящего Bitcoin) — и получают под него кредит. Если стоимость залога падает ниже определённого порога, позиция становится «подлежащей ликвидации»: любой желающий может её закрыть, вернуть долг и забрать залог с небольшой премией за это действие.
Механизм ликвидации — стандартная защита кредитных протоколов. Он должен срабатывать, когда залог действительно обесценился. Проблема возникает, если протокол принимает неверную цену как настоящую.
Ход инцидента
1️⃣ Подача аномально низкой цены. Злоумышленники каким-то образом передали в протокол 42DAO цену BTCB, аномально заниженную относительно реальной рыночной стоимости. Протокол не проверил, насколько сильно эта цена отличается от рыночной, и принял её как достоверную.
2️⃣ Массовая ликвидация позиций. С поддельной низкой ценой BTCB все позиции, обеспеченные этим токеном, мгновенно стали выглядеть как неплатёжеспособные — их залог как будто «упал» ниже допустимого порога. Злоумышленники тут же запустили ликвидацию этих позиций.
3️⃣ Возврат BTCB и выпуск BLC. Через механизм ликвидации атакующие получили BTCB из ликвидированных хранилищ и одновременно получили возможность выпустить токены BLC — собственный токен протокола 42DAO.
4️⃣ Продажа и обвал цены. Полученные BTCB и BLC были проданы за USDT. Резкий вброс большого объёма BLC на рынок обрушил его цену более чем на 99%. Чистый ущерб составил около $1 млн.
Почему это стало возможным
Протокол допустил сразу три упущения, которые в совокупности сделали атаку возможной.
Первое: нет проверки допустимого отклонения цены. Когда оракул сообщает цену, которая отличается от рыночной в разы — это должно быть немедленным сигналом тревоги. Протокол принял аномальное значение без какой-либо проверки на разумность.
Второе: нет временной задержки перед ликвидацией. После обновления цены злоумышленники смогли мгновенно запустить ликвидации. Если бы между появлением новой цены и разрешением на ликвидацию существовал хотя бы короткий период ожидания — у системы и пользователей было бы время заметить аномалию и среагировать.
Третье: нет повторной проверки через независимый источник. Перед тем как разрешить ликвидацию на сотни тысяч долларов, протокол не сверил цену с каким-либо независимым источником. Один источник ценовых данных — единая точка уязвимости.
Детали расследования: движение средств
Сеть BNB Smart Chain
Около $1 млн в BSC-USD поступили на два адреса злоумышленников: 0x7b2e2dE172fd24c9158f6ECB77c05943CE47399D и 0x9d8DD9f2d734675E2bfcC142d1c7A45609CA213C. Оттуда средства были переведены в сеть Ethereum через протокол LiFi — сервис для перевода активов между разными блокчейнами.
Сеть Ethereum
На адресе 0x086EAe01B0EA6C48d8A8bB281dF7b9dc4A00Ad8B средства поступили в USDC. Оттуда они были переведены на адрес 0xe82fa7d15cc81d5b17541074fb04e5df24acfe7d, после чего выведены в протокол приватности Railgun — аналог миксера, обеспечивающий анонимность транзакций через криптографические доказательства с нулевым разглашением.
На момент расследования дальнейшее отслеживание средств через Railgun существенно затруднено.
Заключение
Атака на 42DAO — классический пример того, что происходит, когда кредитный протокол полностью доверяет одному источнику ценовых данных без каких-либо защитных барьеров. Аномальная цена, мгновенная ликвидация, отсутствие временной задержки — три упущения сложились в один точный удар.
Пострадали не только средства в протоколе: токен BLC потерял 99% стоимости за одну атаку — это означает, что пострадали все держатели токена, а не только те, чьи позиции были ликвидированы.
Средства выведены через Railgun. Команда «КоинКит» продолжает мониторинг связанных адресов.
