Эксплойт оракула Solido: 293,7 млн SUPRA выведены через устаревший ценовой фид

Корень проблемы — неправильное назначение оракула (oracle misassignment) в системе оценки залога Solido Cash. Конкретно: использовался устаревший или неверно настроенный ценовой фид для залогового актива SOLID . Протокол полагался на цену SOLID, которая давно устарела или была некорректно сопоставлена, из-за чего стоимость залога оказалась сильно завышена . Внеся SOLID в качестве залога по этой завышенной цене, злоумышленник смог вывести 293,7 млн SUPRA — намного больше, чем позволял бы реальный залог .

Эксплойт прошел в две отдельные волны атак, обе использовали одну и ту же уязвимость :

• Волна A (18:21:35 UTC): Одна транзакция объединила несколько шагов — обмен токенов, внесение их в качестве залога и выпуск новых CASH. Результат — 266 778 767 SUPRA .
• Волна B: Злоумышленник повторил ту же схему, доведя общую сумму до примерно 293,7 млн SUPRA .

Фирма безопасности PeckShield подтвердила взлом и приблизительный размер убытка .

Важно: примерно 90% украденных средств принадлежали самому Solido Foundation, а не розничным пользователям. Это значит, что фонд, а не отдельные кредиторы или заемщики, принял на себя почти весь удар .

Куда были выведены средства?

Solido Money опубликовал криминалистический отчет с подробной цепочкой транзакций:

• Примерно 220 млн SUPRA — около 84% украденных токенов — были перемещены на предполагаемый депозитный адрес Gate.io . В некоторых источниках эту цифру округляют до «почти 90%» украденных средств (220 млн из 293,7 млн) . Цифра в 84% фигурирует в официальном отчете протокола и во многих новостных сообщениях .
• Считается, что злоумышленник внес эти токены на Gate.io для последующей ликвидации или кросс-чейн перевода .
• Solido обратился к биржам с просьбой помочь заморозить и вернуть средства .

Более широкая картина: два эксплойта оракулов Supra за две недели

Эксплойт Solido — не единичный случай. Всего 12 днями ранее, 11 июля 2026 года, протокол кредитования на базе Hedera Bonzo Lend потерял около $9,05 млн в результате аналогичной атаки на оракул .

Bonzo Lend (11 июля 2026):

• Злоумышленник внес всего 250 токенов SAUCE (стоимостью в несколько долларов), а затем отправил поддельное обновление цены SAUCE/wHBAR, которое завысило стоимость токена на 12 порядков .
• Уязвимость заключалась в ошибке проверки BLS-подписи в ончейн-верификаторе Supra. Верификатор принял поддельную цену с нулевой подписью и нулевым открытым ключом как действительную .
• За восемь секунд злоумышленник занял 6,63 млн USDC и 34,5 млн wHBAR .

Оба протокола — Solido Money и Bonzo Lend — полагались на Supra в качестве поставщика оракулов . Два разных типа отказов от одной и той же инфраструктуры:

• Уязвимость Bonzo — криптографический сбой верификации (обход нулевой подписи) в ончейн-верификаторе Supra .
• Уязвимость Solido — неправильная настройка/устаревший фид для залога SOLID — другой класс ошибок оракула, но также связанный с тем, как данные Supra были получены и проверены .

Два инцидента, произошедшие в течение двух недель, привлекли пристальное внимание к экосистеме оракулов Supra. Аналитики по безопасности призывают к более строгой проверке временных меток, нормализации десятичных знаков фидов и агрегации данных из нескольких источников для предотвращения подобных атак .

Ключевые выводы для DeFi-протоколов

1. Неправильная настройка оракула так же опасна, как и криптографический сбой. Устаревший ценовой фид может быть использован так же эффективно, как и сломанный верификатор подписей.
2. 90% украденных средств принадлежали фонду протокола, что подчеркивает, насколько тесно казначейства проектов связаны с рисками самого протокола.
3. Зависимость от одного оракула создает системный риск. И Bonzo, и Solido полагались на одного поставщика (Supra), что создало каскад уязвимостей для нескольких протоколов одновременно.
4. Блокчейн-криминалистика обеспечила отслеживаемость. Собственный отчет Solido отследил 84% украденных средств до конкретного адреса биржи, предоставив следователям четкую зацепку.

Эксплойт Solido подчеркивает критический урок: когда ценовые фиды ломаются — будь то из-за устаревших данных или поддельной подписи — ущерб может затронуть целую экосистему.