Токен DeFi-проекта ForceDAO обвалился на 90% спустя день после запуска из-за атаки

Проблема заключалась в некорректной проверке вызова определенных функций в смарт-контракте. В частности, любой желающий мог вызвать функцию осуществления депозита, даже не имея токенов FORCE. С помощью полученных при этом промежуточных токенов xFORCE из смарт-контракта можно было вывести реальные токены. В общей сложности уязвимостью успели воспользоваться по крайней мере три хакера. Один из них, первым обнаруживший проблему, действовал из благих побуждений и спас 15,8 млн FORCE. Два других оказались злоумышленниками. Первый успел вывести 298 000 FORCE и обменять их на 42 ETH ($85 000), а второй – 4,1 млн FORCE. Учитывая падение курса и ликвидности к этому моменту, ему удалось выручить только 80 ETH ($163 000). В настоящее время в пуле FORCE на децентрализованной бирже Uniswap ликвидности нет, то есть сделки с токеном невозможны. Как отмечает аналитик Игорь Игамбердиев, хакеры слишком торопились и воспользовались адресами, с которых в прошлом перечисляли криптовалюту на биржевые аккаунты. Это дает основания надеяться на их обнаружение и возврат активов. Больше сомнений вызывают перспективы быстрого восстановления цены самого токена. FORCE начал торговаться вчера вечером и перед эксплойтом достиг максимума на отметке $2,30, однако быстро обвалился до $0,17. Разработчик Polymath Network Мудит Гупта также заявляет, что это известный баг смарт-контрактов Ethereum, и заключает, что контракты ForceDAO почти наверняка не проверялись экспертами по безопасности.