Эксплойт AMM V3 от Raydium вывел около 1,34 миллиона долларов из программы, которая была выведена из эксплуатации и связана с пятью пулами, находящимися за пределами текущего продуктового пути, не поддерживаемыми пользовательским интерфейсом или SDK Raydium и недоступными для текущих пользователей.
Эксплойт затронул устаревшие DeFi-контракты и инфраструктуру, которые никто не рассматривал как активную поверхность для атак, обнажив сбой в управлении жизненным циклом, который выходит далеко за рамки одной децентрализованной биржи на Solana.
Категория, которую никто не учитывает
Публичные отчеты об эксплойтах выявили по меньшей мере восемь явных случаев с марта 2025 года, когда устаревшие, неактуальные или легаси-контракты DeFi стали поверхностью для атаки, что привело к общим убыткам примерно в 10,8 миллиона долларов.
Если расширить это определение, включив более широкие сбои в работе устаревших хранилищ (vaults) и продуктов, число инцидентов возрастет примерно до десяти, а убытки составят 22,5 миллиона долларов, включая Raydium.
Трекеры эксплойтов классифицируют инциденты по техническим механизмам, таким как ошибки смарт-контрактов, сбои контроля доступа, манипуляции с оракулами, компрометация приватных ключей и уязвимости мостов.
«Зомби-контракты», или устаревшие DeFi-контракты, которые все еще можно вызвать после вывода из эксплуатации, относятся к совершенно другой оси: состоянию жизненного цикла, которое постоянно теряется в общих метках эксплойтов.
| Метки, используемые в базах данных эксплойтов | Что они охватывают | Что они упускают |
|---|---|---|
| Ошибка смарт-контракта | Сбой в коде, позволивший переместить средства | Был ли контракт выведен из эксплуатации, устарел или находился вне активного продукта |
| Сбой контроля доступа | Отсутствие или нарушение проверок разрешений | Должно ли затронутое развертывание все еще быть доступным для вызова |
| Сбой бизнес-логики | Нарушенные предположения в логике протокола | Относилась ли логика к старой инфраструктуре, которая больше не поддерживается UI/SDK |
| Проблема с оракулом/учетом | Неправильное ценообразование, балансы или доли | Было ли хранилище или пул устаревшим продуктом |
| Риск «зомби-контракта» / жизненного цикла | Устаревшая инфраструктура, все еще активная в блокчейне | Отсутствующая категория: контракты, которые были «выведены из эксплуатации» с точки зрения продукта, но не деактивированы технически |
Пулы AMM V3 от Raydium были выведены из эксплуатации после того, как собственное прекращение работы Serum сделало их инертными. Устаревшая программа была создана для размещения ордеров в книге ордеров Serum, и после сворачивания Serum она потеряла свою единственную функцию, оставив связанную ликвидность простаивающей.
Текущие программы Raydium используют механизм виртуального предложения для проверок пропорций и проверяют адреса минта LP наряду со всей другой соответствующей информацией об учетной записи.
Устаревшая программа пропускала обе проверки, позволяя злоумышленнику создать новый минт, представить его как токен LP и полностью обойти контроль пропорций.
Примерно 150 177 RAY, 5 603 SOL и 893 700 USDC находились в пулах за пределами текущего продукта, но оставались доступными для вызова в блокчейне.
Один шаблон для восьми инцидентов
В марте 2025 года 1inch потеряла около 5 миллионов долларов, когда был использован устаревший контракт-резолвер Fusion v1.
В октябре 2025 года Abracadabra потеряла 1,8 миллиона долларов из-за выведенных из эксплуатации контрактов Cauldron V4, которые оставались активными и уязвимыми из-за логической ошибки. В декабре 2025 года устаревшее хранилище iEarn TUSD от Yearn было осушено на примерно 300 000 долларов, в то время как текущие хранилища v2 и v3 Yearn остались чистыми.
Ситуация обострилась в мае: SlowMist сообщила, что Transit Finance потеряла 1,88 миллиона долларов через устаревший контракт TRON образца 2022 года, а Huma Finance потеряла около 101 000 долларов через устаревшие контракты V1 BaseCreditPool на Polygon.
Renegade потеряла приблизительно 209 000 долларов из-за устаревшего развертывания V1 на Arbitrum, которое было раскрыто незащищенным инициализатором и проблемой миграции; восстановление средств белыми хакерами уменьшило чистое воздействие.
Scallop потеряла около 140 000 долларов из-за устаревшего контракта на вознаграждения, в то время как основная кредитная инфраструктура осталась чистой.
Каждый протокол заявлял, что текущие пользователи в безопасности, а текущие программы не затронуты, и каждый протокол все равно выплачивал средства из казны, потому что старая инфраструктура оставалась доступной для вызова спустя долгое время после того, как покинула активный продуктовый путь.
| Протокол | Дата | Эксплуатируемая устаревшая поверхность | Прибл. убытки | Почему это соответствует шаблону |
|---|---|---|---|---|
| 1inch | Март 2025 | Устаревшая реализация резолвера Fusion v1 | ~$5.0M | Старая логика резолвера оставалась достаточно актуальной для эксплуатации после того, как протокол перешел на новое решение. |
| Abracadabra | Окт. 2025 | Устаревшие контракты Cauldron V4 | ~$1.8M | Устаревшие контракты оставались активными и уязвимыми из-за логической ошибки. |
| Yearn | Дек. 2025 | Устаревшее хранилище iEarn TUSD | ~$0.3M | Устаревшее хранилище было осушено, в то время как текущие хранилища Yearn не пострадали. |
| Transit Finance | Май 2026 | Устаревший контракт TRON образца 2022 года | ~$1.88M | Старая поверхность контракта оставалась активной после вывода из эксплуатации и стала путем атаки. |
| Huma Finance | Май 2026 | Устаревшие контракты V1 BaseCreditPool на Polygon | ~$0.101M | Выведенная из эксплуатации архитектура все еще содержала уязвимые активы за пределами текущей системы. |
| Renegade | Май 2026 | Устаревшее развертывание V1 на Arbitrum | ~$0.209M | Проблемы с миграцией и инициализатором раскрыли старое развертывание. |
| Scallop | 2026 | Устаревший контракт на вознаграждения | ~$0.14M | Основная кредитная инфраструктура осталась чистой, но старая инфраструктура вознаграждений была уязвима. |
| Raydium | 2026 | Устаревшие пулы AMM V3 | ~$1.34M | Текущие UI/SDK и пользователи не пострадали, но старые пулы оставались доступными для вызова в блокчейне. |
Почему базы данных упускают это
Большинство классификаций эксплойтов сосредоточены на том, как злоумышленник проник внутрь, что он манипулировал и какой код дал сбой — механизмно-ориентированный взгляд, который скрывает эксплойты «зомби-контрактов», где основной сбой заключается в том, что инфраструктура должна была быть выведена из эксплуатации.
Устаревший контракт TRON от Transit был старой поверхностью протокола, которую никто не деактивировал. Устаревший контракт на вознаграждения от Scallop был ошибкой учета в инфраструктуре, которую команда уже миновала. V1 BaseCreditPool от Huma — это выведенная из эксплуатации архитектура, которая все еще хранила активы в сети, от которой протокол уже мигрировал.
Исследование SoK 2025 года, анализирующее 50 серьезных реальных эксплойтов с 2022 по 2025 год на общую сумму более 1 миллиарда долларов убытков, утверждало, что инциденты с высоким воздействием часто включают цепочки эксплойтов, охватывающие человеческий, операционный, экономический, жизненный цикл и уровни управления.
Авторы предложили рамочную структуру первопричин из четырех уровней, которая рассматривает сбои жизненного цикла и управления как отдельную категорию наряду с ошибками реализации. «Зомби-контракты» вписываются в эту структуру: сбои жизненного цикла, которые эксплуатируются базами данных, поглощаются подсчетами ошибок реализации, сохраняя совокупную сумму в долларах погребенной в несвязанных категориях.
Вилка на кладбище
Если протоколы продолжат относиться к выводу из эксплуатации как к второстепенному вопросу, выводя контракты из эксплуатации в продуктовой документации, не осушая, не приостанавливая и не отслеживая их, злоумышленники будут продолжать сканировать кладбище.
История развертывания каждого крупного протокола становится доступной для сканирования поверхностью атаки. Текущая оценка в 22,5 миллиона долларов — это нижний предел, основанный на инцидентах, которые попали в публичную отчетность с достаточной детализацией для классификации.
Устаревшие хранилища, забытые поверхности разрешений и старые интеграции, которые все еще хранят активы, но находятся за пределами активных пользовательских потоков, получают гораздо меньше мониторинга, чем активная инфраструктура, которую ищут злоумышленники.
Если эта категория будет названа и учтена, если контрольные списки вывода из эксплуатации станут стандартной практикой наряду с аудитами, поверхность атаки сократится за счет обслуживания.
Казначейство Raydium поглощает эксплойт на 1,3 миллиона долларов, команда Transit пообещала компенсацию, а Huma покрыла свои убытки.
Это превращает вывод DeFi-контрактов из эксплуатации в меру безопасности, а не в задачу документирования.
| Контроль вывода из эксплуатации | Что это означает | Почему это важно |
|---|---|---|
| Осушение неиспользуемых активов | Изъятие средств из выведенных из эксплуатации пулов, хранилищ и контрактов на вознаграждения. | Устраняет финансовый стимул для злоумышленников сканировать заброшенную инфраструктуру. |
| Приостановка вызываемых функций | Отключение свопов, снятия средств, получения вознаграждений или административных функций, где это возможно. | Превращает «выведенный из эксплуатации» в фактическое состояние безопасности, а не просто в продуктовое обозначение. |
| Проверка минтов LP, разрешений и полномочий | Просмотр устаревших проверок минта, разрешений, полномочий и предположений об учетных записях. | Предотвращает использование злоумышленниками устаревшей логики проверки или забытых разрешений. |
| Мониторинг устаревших развертываний | Сохранение активных оповещений для старых контрактов, пулов и развертываний в сети. | Предотвращает то, что заброшенная инфраструктура становится невидимой для команды, но видимой для злоумышленников. |
| Включение устаревшего кода в область действия баг-баунти | Включение выведенной из эксплуатации или устаревшей инфраструктуры в программы безопасности. | Дает белым хакерам причину сообщать о проблемах до того, как их используют злоумышленники. |
| Публикация статуса вывода из эксплуатации | Четкое указание, осушены ли старые продукты, приостановлены, отслеживаются или не поддерживаются. | Помогает пользователям, интеграторам и аналитикам отличать «отсутствует в UI» от «не рискованно». |
| Определение ответственности казначейства | Указать, будет ли протокол компенсировать убытки от выведенной из эксплуатации инфраструктуры. | Проясняет, остается ли старый код неявным требованием к казначейству протокола. |
Вывод контракта из эксплуатации переносит ответственность за безопасность на казначейство, оставляя поверхность атаки нетронутой. Вывод инфраструктуры из эксплуатации без ее деактивации оставляет ее активной, при этом внимание команды отвлечено, а стимул злоумышленника сохраняется.
В дополнение к общей заблокированной стоимости (TVL), протоколы DeFi накапливают историю, и историей можно воспользоваться.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Gino Matos
