Майкл Патрин і криза безпеки в UwU Lend: атака на 20 мільйонів доларів

Протокол позик UwU Lend нещодавно зазнав атаки, внаслідок якої було втрачено 20 мільйонів доларів. За цим проектом стоїть Майкл Патрин, бізнесмен, відомий під псевдонімом 0xSifu, який запропонував компенсацію зловмисникам як частину угоди щодо повернення викрадених коштів. Цей інцидент знову підкреслює існуючі ризики у сфері децентралізованих фінансів.

Хто такий Майкл Патрин: від QuadrigaCX до 0xSifu

Майкл Патрин здобув популярність у криптоекосистемі як співзасновник QuadrigaCX, канадської біржі криптовалют, яка збанкрутувала у 2018 році після колапсу, пов’язаного з шахрайствами. Патрин покинув компанію за два роки до її остаточного закриття. Через кілька років, під псевдонімом 0xSifu, він знову з’явився у просторі DeFi як керівник казначейства Wonderland, протоколу, який здобув популярність, але його токен обвалився у січні 2022 року, коли було розкрито його справжню особистість.

З цією складною історією у біографії, Майкл Патрин запустив UwU Lend у 2022 році, розробивши платформу як варіант протоколу Aave, який тоді обслуговував понад 20 мільярдів доларів у депозитах користувачів, посідаючи друге місце за значущістю у секторі.

Атака на протокол: маніпульовані оракули та flash loans

Злом стався за допомогою складної комбінації двох технічних вразливостей. Зловмисник скористався легко маніпулюваними оракулами цін, які надавали UwU інформацію про вартість різних токенів. За аналізом Blocksec, компанії, що спеціалізується на криптозахисті, зловмисник також застосував масивний швидкий займ (приблизно 4 мільярди доларів США) для експлуатації цих слабкостей протоколу.

“Зловмисник позичив величезну кількість активів”, пояснив Метью Джіанг, директор служби безпеки Blocksec. “Практично він позичив усі доступні активи у ланцюгу, які можна використовувати у швидких позиках”. Ця комбінація дозволила злочинцю вивести близько 20 мільйонів доларів з платформи.

Швидкі позики або flash loans — це операції, що дозволяють брати кредити без застави за умови повернення у межах однієї транзакції у блокчейні. Хоча ці механізми корисні для легітимних арбітражних операцій, їх також використовують зловмисники для виведення ліквідності з уразливих протоколів DeFi.

Пропозиція компенсації та реальність атак у DeFi

У відповідь на інцидент Майкл Патрин запропонував нестандартний стимул: якщо зловмисники повернуть приблизно 16 мільйонів доларів у криптовалютах, протокол пообіцяв не подавати судових позовів і не співпрацювати з правоохоронними органами. Патрин запропонував нагороду у розмірі 20% від відновлених коштів як додатковий стимул.

“Ми пропонуємо компенсацію у рамках так званого білого капелюха — 20% від будь-яких отриманих коштів”, повідомив Патрин через повідомлення в Ethereum. “Вони не матимуть юридичних ризиків, якщо погодяться на цю угоду, і правоохоронні органи не братимуть участі”.

Ця тактика є досить поширеною у криптоекосистемі, де витрати та складність повернення викрадених токенів становлять значний виклик. Однак зловмисники часто відхиляють такі пропозиції, хоча й трапляються випадки їх прийняття.

Зростаюча тенденція атак через flash loans

UwU Lend — не єдиний випадок. Euler Finance, протокол позик у Ethereum, зазнав подібної атаки, яка спочатку призвела до втрат у 197 мільйонів доларів, хоча згодом зловмисник повернув 85% викрадених коштів. Інші недавні приклади включають злом Sonne Finance на 20 мільйонів доларів кілька місяців тому та протоколу Hedgey на 44 мільйони доларів у першій половині року.

За даними, зібраними DefiLlama, протягом перших п’яти місяців останнього фінансового року зловмисники вивели приблизно 560 мільйонів доларів із протоколів DeFi, що на 32% більше порівняно з тим самим періодом минулого року. Ця тенденція підкреслює постійну вразливість платформ децентралізованих фінансів перед складними зловживаннями безпеки.

Випадок Майкла Патрина і UwU Lend показує, як навіть із сумнівною репутацією у галузі, крипто-підприємці продовжують запускати нові проєкти. Безпека цих протоколів залишається критичним викликом, який потребує більшої уваги як з боку розробників, так і регуляторів.