Michael Patryn и кризис безопасности в UwU Lend: атака на 20 миллионов долларов

Протокол кредитования UwU Lend недавно подвергся атаке, в результате которой было потеряно 20 миллионов долларов. За этой платформой стоит Майкл Патрин, предприниматель, известный под псевдонимом 0xSifu, который предложил компенсацию злоумышленникам в рамках соглашения о возврате украденных средств. Этот инцидент вновь подчеркивает постоянные риски в сфере децентрализованных финансов.

Кто такой Майкл Патрин: от QuadrigaCX к 0xSifu

Майкл Патрин приобрел известность в криптоэкосистеме как соучредитель QuadrigaCX, канадской криптовалютной биржи, которая рухнула в 2018 году после коллапса, связанного с мошенничеством. Патрин ушел из компании за два года до ее окончательного закрытия. Спустя годы, под псевдонимом 0xSifu, он вновь появился в пространстве DeFi как ответственный за казначейство Wonderland — протокола, который приобрел популярность, но чей токен рухнул в январе 2022 года после раскрытия его настоящей личности.

Обладая такой сложной историей, Майкл Патрин запустил UwU Lend в 2022 году, разработав платформу как вариацию протокола Aave, который в свое время хранил более 20 миллиардов долларов в депозитах пользователей, занимая второе место по значимости в секторе.

Атака на протокол: манипуляции оракулами и flash loans

Взлом произошел с помощью сложной комбинации двух технических уязвимостей. Злоумышленник воспользовался использованием легко манипулируемых оракулов цен, которые предоставляли UwU информацию о стоимости различных токенов. Согласно анализу компании Blocksec, специализирующейся на криптобезопасности, злоумышленник также использовал массовый быстрый заем (оценочно около 4 миллиардов долларов) для эксплуатации этих слабых мест протокола.

“Злоумышленник взял в долг огромное количество активов”, — объяснил Мэттью Цзян, директор по безопасности Blocksec. “Практически он занял все доступные активы в цепочке, которые можно использовать в быстрых займах”. Эта комбинация позволила преступнику вывести около 20 миллионов долларов с платформы.

Быстрые займы или flash loans — это операции, позволяющие брать кредиты без залога при условии, что они должны быть возвращены в рамках одной транзакции в блокчейне. Хотя эти механизмы полезны для легитимных операций арбитража, их также используют злоумышленники для вывода ликвидности из уязвимых протоколов DeFi.

Предложение компенсации и реальность атак в DeFi

В ответ на инцидент Майкл Патрин предложил нестандартный стимул: если злоумышленники вернут примерно 16 миллионов долларов в криптовалюте, протокол обязуется не предпринимать судебных действий и не сотрудничать с правоохранительными органами. Патрин предложил вознаграждение в размере 20% от восстановленных средств в качестве дополнительного стимула.

“Мы предлагаем компенсацию в рамках белого шляпы — 20% от любых полученных средств”, — заявил Патрин через сообщение в Ethereum. “Они не столкнутся с юридическими рисками, если согласятся на это соглашение, и участие правоохранительных органов исключено”.

Эта тактика достаточно распространена в криптоэкосистеме, где затраты и сложность возврата украденных токенов представляют собой значительную проблему. Однако злоумышленники часто отвергают такие предложения, хотя есть и заметные случаи их принятия.

Растущая тенденция атак с помощью flash loans

UwU Lend — не единственный случай. Euler Finance, протокол кредитования на Ethereum, столкнулся с аналогичной атакой, которая изначально привела к потерям в 197 миллионов долларов, хотя впоследствии злоумышленник вернул 85% украденных средств. Другие недавние примеры включают взлом Sonne Finance на сумму 20 миллионов долларов несколько месяцев назад и протокола Hedgey на 44 миллиона долларов в первой половине года.

Согласно данным, собранным DefiLlama, за первые пять месяцев последнего финансового года злоумышленники вывели примерно 560 миллионов долларов из протоколов DeFi, что на 32% больше по сравнению с аналогичным периодом прошлого года. Эта тенденция подчеркивает постоянную уязвимость платформ децентрализованного финансирования перед сложными эксплойтами.

Случай Майкла Патрина и UwU Lend показывает, как даже с сомнительным прошлым в индустрии, криптопредприниматели продолжают запускать новые проекты. Безопасность этих протоколов остается критической задачей, требующей большего внимания как со стороны разработчиков, так и регуляторов.