GMX został skradziony 42 miliony dolarów, jak zapewnić bezpieczeństwo DeFi?

Napisane przez ChandlerZ, Foresight News

9 lipca system V1 GMX, zdecentralizowanej giełdy, został zaatakowany w sieci Arbitrum. Atakujący wykorzystał lukę w kontrakcie, aby przenieść aktywa o wartości około 42 milionów dolarów z puli płynności GLP. GMX zawiesił handel na platformie po incydencie i zablokował funkcje bicia i wykupu GLP. Atak nie wpłynął na system GMX V2 ani natywny token, ale incydent po raz kolejny wywołał dyskusję na temat mechanizmu zarządzania aktywami w ramach protokołów DeFi.

Proces ataku i przepływ środków

Firma zajmująca się bezpieczeństwem PeckShield i analiza Slowfog ujawniły, że atakujący wykorzystali lukę w logice obliczeniowego przetwarzania AUM GMX V1. Ta wada powoduje, że kontrakt aktualizuje średnią globalną cenę natychmiast po otwarciu krótkiej pozycji. W ten sposób atakujący konstruuje kierunkową ścieżkę operacji, aby osiągnąć manipulację ceną tokena i odkupienie arbitrażu.

Atakujący przenieśli aktywa o wartości około 9,65 miliona dolarów z Arbitrum do Ethereum, gdzie wymienili je na DAI i ETH. Część środków trafiła do Tornado Cash, protokołu mieszania. Pozostałe aktywa o wartości około 32 milionów dolarów pozostają w sieci Arbitrum, obejmując tokeny takie jak FRAX, wBTC, DAI i inne.

W następstwie incydentu, GMX krzyczał na adres hakera w łańcuchu, domagając się zwrotu 90% środków i był skłonny zaoferować 10% nagrodę za biały kapelusz. Zgodnie z najnowszymi danymi on-chain, hakerzy GMX wymienili aktywa skradzione z puli GMX V1 na ETH.

Hakerzy ukradli WBTC/WETH/UNI/FRAX/LINK/USDC/USDT, a wszystkie inne aktywa z wyjątkiem FRAX zostały sprzedane za 11 700 ETH (około 32,33 miliona dolarów) i rozdystrybuowane do 4 portfeli w celu przechowywania. Tak więc haker GMX posiada teraz 11 700 ETH (około 32,33 miliona dolarów) i 10,495 miliona FRAX za pośrednictwem 5 portfeli. Jest wart około 42,8 miliona dolarów.

Analiza Ember wykazała, że operacja hakera powinna również oznaczać, że grupa projektowa GMX zaproponowała spłatę aktywów i otrzymanie 10% nagrody za biały kapelusz.

Błąd w logice kontraktu

Firma zajmująca się bezpieczeństwem zauważyła, że zamiast polegać na kontrakcie w celu nieautoryzowanego dostępu lub ominięcia kontroli uprawnień, atakujący bezpośrednio manipulował funkcją w oparciu o oczekiwaną logikę i wykorzystywał różnicę czasu aktualizacji stanu, aby wielokrotnie wywoływać funkcję w okresie wykonywania, tj. typową operację ponownego wejścia.

Według SlowMist, główną przyczyną ataku jest błąd konstrukcyjny w wersji GMX v1, a operacja krótkiej pozycji natychmiast zaktualizuje globalną cenę shortAverage (globalShortAveragePrices), co bezpośrednio wpływa na obliczanie zarządzanych aktywów (AUM), co skutkuje manipulacją cenami tokenów GLP. Osoba atakująca wykorzystała tę lukę w zabezpieczeniach, wykorzystując zdolność aplikacji Keeper do włączenia opcji "timelock.enableLeverage" podczas realizacji zlecenia, co jest warunkiem wstępnym do utworzenia dużej liczby krótkich pozycji. Poprzez atak re-entrancy atakujący z powodzeniem otworzył dużą liczbę krótkich pozycji, manipulował średnią ceną światową, sztucznie zawyżył cenę GLP w jednej transakcji i czerpał zyski z operacji wykupu.

To nie pierwszy raz, kiedy tego typu atak pojawił się w projektach DeFi. Gdy kontrakt przetwarza saldo lub aktualizacja pozycji pozostaje w tyle za wybiciem lub wykupem aktywów, może to ujawnić krótkoterminowy stan niespójności, a atakujący konstruuje ścieżkę operacji i wycofuje niezastawione aktywa.

GMX V1 wykorzystuje projekt współdzielonej puli, który składa się z wielu zasobów użytkownika w celu utworzenia ujednoliconego skarbca, a kontrakt kontroluje informacje o koncie i stan płynności. GLP jest reprezentatywnym tokenem LP puli, a jego cena i kurs wymiany są dynamicznie obliczane przez dane on-chain i logikę kontraktów. W tego rodzaju systemie tokenów syntetycznych istnieje obserwowalne ryzyko, w tym wzmacnianie przestrzeni arbitrażowej, tworzenie przestrzeni manipulacji i opóźnienie stanu między wywołaniami.

Oficjalna odpowiedź

Przedstawiciele GMX szybko wydali oświadczenie po ataku, mówiąc, że atak dotyczył tylko systemu V1 i jego puli GLP. Nie ma to wpływu na GMX V2, tokeny natywne i inne rynki. Aby zapobiec ewentualnym przyszłym atakom, zespół zawiesił operacje handlowe na V1 i wyłączył możliwości wybijania i wykupu GLP na Arbitrum i Avalanche.

Zespół stwierdził również, że obecnie koncentruje się na przywracaniu bezpieczeństwa operacyjnego i audycie elementów wewnętrznych umów. System V2 nie dziedziczy struktury logicznej V1 i wykorzystuje różne mechanizmy rozliczania, kwotowania i obsługi pozycji przy ograniczonej ekspozycji na ryzyko.

Token GMX, który spadł o ponad 17% w ciągu 24 godzin po ataku, z najniższego poziomu około 14,42 USD do 10,3 USD, obecnie nieznacznie się odbudował i jest obecnie notowany na poziomie 11,78 USD. Przed tym wydarzeniem GMX miał skumulowany wolumen obrotu w wysokości ponad 30,5 miliarda dolarów, ponad 710 000 zarejestrowanych użytkowników i ponad 229 milionów dolarów otwartych pozycji.

Bezpieczeństwo aktywów kryptograficznych nadal znajduje się pod presją

Atak GMX nie jest odosobnionym przypadkiem. Od 2025 roku branża kryptowalut straciła więcej pieniędzy z powodu włamań niż w tym samym okresie ubiegłego roku. Chociaż liczba incydentów spadła w drugim kwartale, nie oznacza to, że ryzyko zmalało. Według raportu CertiK łączne straty spowodowane włamaniami, oszustwami i exploitami przekroczyły 2,47 miliarda dolarów w pierwszej połowie 2025 roku, co oznacza wzrost o prawie 3% rok do roku w porównaniu z 2,4 miliarda dolarów skradzionych w 2024 roku. Kradzież zimnego portfela Bybit i włamanie do Cetus DEX spowodowały łącznie szkody w wysokości 1,78 miliarda dolarów, co stanowi większość całkowitych strat. Ten rodzaj scentralizowanej kradzieży na dużą skalę pokazuje, że aktywom o wysokiej wartości nadal brakuje odpowiednich mechanizmów izolacji i redundancji, a kruchość konstrukcji platformy nadal nie jest skutecznie rozwiązywana.

Wśród rodzajów ataków, włamania do portfela są najbardziej kosztowne w celu spowodowania strat finansowych. W pierwszej połowie roku miały miejsce 34 powiązane incydenty, w wyniku których przeniesiono aktywa o wartości około 1,7 miliarda dolarów. W porównaniu z technicznie wyrafinowanymi exploitami, ataki na portfel są najczęściej realizowane za pomocą socjotechniki, linków phishingowych lub spoofingu uprawnień, który ma niższą techniczną barierę wejścia, ale jest niezwykle destrukcyjny. Hakerzy coraz częściej skłaniają się ku przenoszeniu aktywów do terminali użytkowników, zwłaszcza w scenariuszach, w których uwierzytelnianie wieloskładnikowe nie jest włączone lub polegane są na gorących portfelach.

Jednocześnie ataki phishingowe wciąż szybko rosną, stając się najbardziej przypadkowym wektorem. W pierwszej połowie roku odnotowano łącznie 132 ataki phishingowe, które spowodowały łączną stratę w wysokości 410 milionów dolarów. Osoby atakujące mogą podrabiać strony internetowe, interfejsy umów lub zakamuflowane procesy potwierdzania transakcji, aby skłonić użytkowników do niewłaściwego działania i uzyskania kluczy prywatnych lub uprawnień autoryzacyjnych. Osoby atakujące stale dostosowują swoje taktyki, aby utrudnić identyfikację phishingu, a świadomość bezpieczeństwa i narzędzia po stronie użytkownika stały się krytyczną linią obrony.