Бывший сотрудник Pump.fun воспользовался правом отзыва средств и причинил убытки в размере 1,9 миллиона долларов

Основанная в Солане площадка для запуска мем-монет Pump.fun объявила, что бывший сотрудник использовал свое «привилегированное положение» для доступа к «отзыву полномочий» и незаконно присвоил около 12 300 SOL, что на тот момент стоило примерно 1,9 миллиона долларов.

Чтобы предотвратить дальнейший ущерб, Pump.fun остановил торговлю и обновил контракты.

Использование флэш-кредита

Что касается эксплойта, Pump.fun сообщил в сообщении X, что бывший сотрудник злоупотребил своим доступом к полномочиям на вывод средств, которые он получил на своей предыдущей должности в компании.

Воспользовавшись срочными кредитами по протоколу кредитования Solana, рассматриваемый человек взял взаймы SOL и скупил монеты, чтобы довести их до 100% на своих кривых облигаций. Это позволило им получить доступ к ликвидности кривой облигаций и погасить срочные кредиты.

Через несколько часов торговля на платформе была остановлена. Из $45 млн общей ликвидности пострадало примерно $1,9 млн. Затем команда Pump.fun перераспределила контракты и возобновила торговлю с комиссией 0% в течение следующих семи дней.

Платформа создания монет мемов также отметила, что токены, уровень которых достиг 100% во время эксплойта, в настоящее время находятся в подвешенном состоянии и не подлежат торговле до тех пор, пока для них не будут развернуты пулы ликвидности в протоколе кредитования Solana, Raydium. Чтобы компенсировать пользователям, команда заявила, что пополнит пулы ликвидности для затронутых монет равным или большим количеством SOL в течение следующих 24 часов.

«Пожалуйста, поддержите нас, поскольку мы стремимся возобновить торговлю этими монетами безопасным и структурированным образом. Мы работаем с некоторыми из самых уважаемых специалистов по безопасности в этой сфере, чтобы не только минимизировать влияние ситуации, но и обеспечить что этого никогда не произойдет в будущем».

Внутренняя утечка закрытого ключа

Перед объявлением Pump.fun руководитель исследования криптовалютного рынка Wintermute Игорь Игамбердиев объяснил взлом внутренней утечкой закрытого ключа и заподозрил пользователя X «STACCoverflow».

Вскоре после этого пользователь X «Stacc» признался в использовании эксплойта, раскритиковав своих «ужасных боссов» на Pump.fun, назвав их неподходящим «лицом блокчейн-сообщества».