16 травня платформа для створення мемокінів pump.fun в екосистемі Solana стала жертвою інсайдерської атаки. Унаслідок інциденту майданчик втратив 12 300 SOL (близько $2 млн за поточним курсом).
Команда проєкту звинуватила в крадіжці колишнього співробітника і пообіцяла на 100% компенсувати всі втрати користувачам.
Що трапилося
Винуватець інциденту за лічені хвилини скупив усі токени нових проєктів на платформі pump.fun, чим довів «криву зв’язування» до межі.
У секторі децентралізованих фінансів (DeFi) крива зв’язування – це метод автоматичного управління ціною токенів, який дає змогу встановлювати вартість монет автоматично залежно від попиту і пропозиції. Для цього не потрібні традиційні біржі.
Маніпуляція зловмисника завадила всім новим активам з’явитися на децентралізованій біржі (DEX) Raydium на базі Solana.
Дізнавшись про атаку, розробники pump.fun оперативно оновили контракти майданчика, щоб запобігти подальшим втратам. Команда проєкту також призупинила торгівлю і запевнила користувачів, що загальна вартість заблокованих у протоколі коштів (TVL) – у безпеці.
«Ми прагнемо забезпечити безпеку наших користувачів і співпрацюємо з відповідними сторонами, включно з правоохоронними органами, щоб мінімізувати збитки», – додали представники pump.fun.
За кілька годин розробники написали ще один пост, у якому підкреслили, що всі контракти платформи безпечні і pump.fun знову працює. На наступні сім днів команда проєкту обнулила комісію.
Екс-співробітник вирішив помститися «жахливим босам»
Людиною, яка влаштувала злом, виявився колишній співробітник майданчика – Джаррет, більш відомий під ніком staccoverflow. Після звільнення він розкритикував pump.fun у соціальних мережах, заявивши, що збирається порушити роботу платформи.
«Той тип жахливих босів, які бачать, як ти поранив руку, запитують, що трапилося, ти кажеш, що порізався об скляний стіл, і вони запитують “а зі столом все гаразд?” – це не ті люди, яких ви хочете бачити на передньому плані у світі блокчейну”, – написав він уже після атаки.
Джаррет додав, що в нього є грандіозний план, який «змінить хід історії». Сидіти у в’язниці за нього, як уточнив staccoverflow, він не боїться.
В окремому пості колишній співробітник pump.fun зазначив, що розподілить усі вкрадені кошти серед різних спільнот, включно зі Slerf, Stacc, Saga і Risklol, через аірдроп. Через таке рішення Джаррет отримав прізвисько «Робін Гуд Web3».
