Як помилка в ціновому оракулі дозволила вивести 293,7 млн SUPRA із Solido Money
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID. Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID.
Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
Приблизно 90% постраждалих коштів належали Solido Foundation, а не звичайним користувачам.
Інцидент стався через 12 днів після атаки на Bonzo Lend, де також використовували вразливість в оракульній інфраструктурі Supra.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
23 липня 2026 року з протоколу децентралізованого кредитування Solido Money було виведено 293,7 млн токенів SUPRA — на той момент приблизно $900 000. Це була не атака з використанням флеш-позики чи складної помилки в логіці смартконтракту, а проблема з оцінюванням застави: застарілий або неправильно прив’язаний ціновий фід для активу SOLID завищив його вартість .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Як помилка в ціновому оракулі дозволила вивести 293,7 млн SUPRA із Solido Money"?
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID.
What are the key points to validate first?
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID. Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
What should I do next in practice?
Приблизно 90% постраждалих коштів належали Solido Foundation, а не звичайним користувачам.
Як помилка в ціновому оракулі дозволила вивести 293,7 млн SUPRA із Solido Money
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID. Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
ОпублікувавВідредаговано за допомогою DeepSeek-V4-FlashЗображення створено за допомогою GPT Image 1.5
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID.
Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
Приблизно 90% постраждалих коштів належали Solido Foundation, а не звичайним користувачам.
Інцидент стався через 12 днів після атаки на Bonzo Lend, де також використовували вразливість в оракульній інфраструктурі Supra.
Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 milIllustrative representation of an oracle pricing exploit in DeFi.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What happened in the Solido Money oracle exploit on July 23, how did the attacker drain 293.7 mil. Article summary: Here is the verified account of the Solido Money exploit, its mechanics, fund tracing, and the broader pattern it fits. ## What Happened on July 23, 2026 On July 23, 2026, an attacker drained **293.7 million SUPRA tokens. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
openai.com
23 липня 2026 року з протоколу децентралізованого кредитування Solido Money було виведено 293,7 млн токенів SUPRA — на той момент приблизно $900 000. Це була не атака з використанням флеш-позики чи складної помилки в логіці смартконтракту, а проблема з оцінюванням застави: застарілий або неправильно прив’язаний ціновий фід для активу SOLID завищив його вартість .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Як помилка в ціновому оракулі дозволила вивести 293,7 млн SUPRA із Solido Money"?
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID.
What are the key points to validate first?
23 липня 2026 року з протоколу Solido Money вивели 293,7 млн SUPRA — приблизно на $900 000 — через застарілий або неправильно налаштований ціновий оракул для застави SOLID. Близько 220 млн SUPRA, або приблизно 84% викрадених токенів, відстежили до адреси депозиту, яку підозрюють у зв’язку з Gate.io.
What should I do next in practice?
Приблизно 90% постраждалих коштів належали Solido Foundation, а не звичайним користувачам.
Solido Cash використовував дані оракула, щоб визначити, скільки позики можна видати під заставу SOLID. Через помилкове призначення фіду протокол оцінював цю заставу значно дорожче за її реальну ринкову вартість .
Зловмисник скористався розбіжністю: вніс SOLID як заставу за завищеною оцінкою, а потім отримав значно більше SUPRA, ніж дозволяла б справжня вартість внесених активів . Фактично помилкова ціна перетворила недостатньо забезпечену заставу на можливість для масштабного запозичення.
Експлойт відбувся у дві окремі хвилі:
Перша хвиля — о 18:21:35 UTC. В одній транзакції нападник послідовно обміняв токени, вніс їх як заставу та випустив CASH. Результатом стало отримання 266 778 767 SUPRA.
Друга хвиля. Ту саму схему повторили знову, довівши загальну суму до приблизно 293,7 млн SUPRA.
Про злам і приблизний розмір втрат повідомила компанія з блокчейн-безпеки PeckShield. Водночас близько 90% викрадених коштів належали самій Solido Foundation, а не роздрібним кредиторам чи позичальникам. Тож основний фінансовий удар припав на фонд проєкту .
Куди вирушили викрадені токени
У власному криміналістичному звіті Solido Money простежила рух активів у блокчейні:
близько 220 млн SUPRA, тобто приблизно 84% усіх викрадених токенів, перевели на адресу депозиту, яку підозрюють у зв’язку з Gate.io;
у деяких повідомленнях цю частку округлюють до «майже 90%» — ідеться про співвідношення 220 млн до 293,7 млн SUPRA ;
за припущенням дослідників, кошти могли готувати до продажу або переміщення між мережами ;
Solido звернулася до криптовалютних бірж із проханням допомогти заморозити та повернути активи .
Водночас згадка про адресу, пов’язану з біржею, не означає, що Gate.io причетна до атаки. Звіт Solido описує рух коштів у блокчейні та не встановлює особу нападника чи відповідальність біржі .
Чому згадують Bonzo Lend
Інцидент у Solido стався лише через 12 днів після атаки на Bonzo Lend — кредитний протокол у мережі Hedera. 11 липня 2026 року Bonzo повідомив про втрати приблизно $9,05 млн через іншу вразливість, пов’язану з оракулом .
Механізм там був іншим:
нападник вніс лише 250 токенів SAUCE, які коштували кілька доларів;
потім подав підроблене оновлення ціни SAUCE/wHBAR, збільшивши оцінку активу на 12 порядків;
помилка в ончейн-перевірці BLS-підпису Supra дозволила прийняти оновлення з нульовими підписом і відкритим ключем як дійсне ;
приблизно за вісім секунд нападник позичив 6,63 млн USDC і 34,5 млн wHBAR.
В обох випадках протоколи використовували Supra як постачальника оракульних даних. Однак причини відрізнялися:
у Bonzo Lend це був збій криптографічної перевірки — обхід перевірки нульовим підписом ;
у Solido Money — помилково налаштований або застарілий фід для оцінювання застави SOLID .
Так два різні типи помилок в одному інфраструктурному шарі протягом двох тижнів привернули додаткову увагу до екосистеми оракулів Supra. Серед запропонованих заходів захисту — суворіша перевірка часу оновлення даних, уніфікація десяткових розрядів у фідах і використання кількох незалежних джерел цін .
Що цей випадок означає для DeFi
Неправильна конфігурація оракула може бути не менш небезпечною за криптографічний баг. Застаріла ціна здатна створити ту саму економічну діру, що й підроблений підпис.
Ризик протоколу охоплює його казначейство. У випадку Solido близько 90% постраждалих коштів належали фонду проєкту, тому збитки не обмежилися лише коштами користувачів.
Залежність від одного постачальника створює системний ризик. Коли кілька протоколів покладаються на ту саму оракульну інфраструктуру, проблема на спільному рівні може повторитися в різних проєктах.
Ончейн-аналіз дає змогу відстежувати рух активів. У цьому випадку розслідування пов’язало приблизно 84% викрадених токенів із конкретною біржовою депозитною адресою .
Головний висновок простий: у DeFi недостатньо перевірити лише код кредитного протоколу. Потрібно контролювати весь ланцюжок надходження цін — від джерела даних і криптографічної перевірки до правильного призначення фіду та контролю його актуальності. Якщо цей ланцюжок дає збій, навіть одна неправильна ціна може швидко перетворитися на багатомільйонні втрати.
Solido Cash використовував дані оракула, щоб визначити, скільки позики можна видати під заставу SOLID. Через помилкове призначення фіду протокол оцінював цю заставу значно дорожче за її реальну ринкову вартість .
Зловмисник скористався розбіжністю: вніс SOLID як заставу за завищеною оцінкою, а потім отримав значно більше SUPRA, ніж дозволяла б справжня вартість внесених активів . Фактично помилкова ціна перетворила недостатньо забезпечену заставу на можливість для масштабного запозичення.
Експлойт відбувся у дві окремі хвилі:
Перша хвиля — о 18:21:35 UTC. В одній транзакції нападник послідовно обміняв токени, вніс їх як заставу та випустив CASH. Результатом стало отримання 266 778 767 SUPRA.
Друга хвиля. Ту саму схему повторили знову, довівши загальну суму до приблизно 293,7 млн SUPRA.
Про злам і приблизний розмір втрат повідомила компанія з блокчейн-безпеки PeckShield. Водночас близько 90% викрадених коштів належали самій Solido Foundation, а не роздрібним кредиторам чи позичальникам. Тож основний фінансовий удар припав на фонд проєкту .
Куди вирушили викрадені токени
У власному криміналістичному звіті Solido Money простежила рух активів у блокчейні:
близько 220 млн SUPRA, тобто приблизно 84% усіх викрадених токенів, перевели на адресу депозиту, яку підозрюють у зв’язку з Gate.io;
у деяких повідомленнях цю частку округлюють до «майже 90%» — ідеться про співвідношення 220 млн до 293,7 млн SUPRA ;
за припущенням дослідників, кошти могли готувати до продажу або переміщення між мережами ;
Solido звернулася до криптовалютних бірж із проханням допомогти заморозити та повернути активи .
Водночас згадка про адресу, пов’язану з біржею, не означає, що Gate.io причетна до атаки. Звіт Solido описує рух коштів у блокчейні та не встановлює особу нападника чи відповідальність біржі .
Чому згадують Bonzo Lend
Інцидент у Solido стався лише через 12 днів після атаки на Bonzo Lend — кредитний протокол у мережі Hedera. 11 липня 2026 року Bonzo повідомив про втрати приблизно $9,05 млн через іншу вразливість, пов’язану з оракулом .
Механізм там був іншим:
нападник вніс лише 250 токенів SAUCE, які коштували кілька доларів;
потім подав підроблене оновлення ціни SAUCE/wHBAR, збільшивши оцінку активу на 12 порядків;
помилка в ончейн-перевірці BLS-підпису Supra дозволила прийняти оновлення з нульовими підписом і відкритим ключем як дійсне ;
приблизно за вісім секунд нападник позичив 6,63 млн USDC і 34,5 млн wHBAR.
В обох випадках протоколи використовували Supra як постачальника оракульних даних. Однак причини відрізнялися:
у Bonzo Lend це був збій криптографічної перевірки — обхід перевірки нульовим підписом ;
у Solido Money — помилково налаштований або застарілий фід для оцінювання застави SOLID .
Так два різні типи помилок в одному інфраструктурному шарі протягом двох тижнів привернули додаткову увагу до екосистеми оракулів Supra. Серед запропонованих заходів захисту — суворіша перевірка часу оновлення даних, уніфікація десяткових розрядів у фідах і використання кількох незалежних джерел цін .
Що цей випадок означає для DeFi
Неправильна конфігурація оракула може бути не менш небезпечною за криптографічний баг. Застаріла ціна здатна створити ту саму економічну діру, що й підроблений підпис.
Ризик протоколу охоплює його казначейство. У випадку Solido близько 90% постраждалих коштів належали фонду проєкту, тому збитки не обмежилися лише коштами користувачів.
Залежність від одного постачальника створює системний ризик. Коли кілька протоколів покладаються на ту саму оракульну інфраструктуру, проблема на спільному рівні може повторитися в різних проєктах.
Ончейн-аналіз дає змогу відстежувати рух активів. У цьому випадку розслідування пов’язало приблизно 84% викрадених токенів із конкретною біржовою депозитною адресою .
Головний висновок простий: у DeFi недостатньо перевірити лише код кредитного протоколу. Потрібно контролювати весь ланцюжок надходження цін — від джерела даних і криптографічної перевірки до правильного призначення фіду та контролю його актуальності. Якщо цей ланцюжок дає збій, навіть одна неправильна ціна може швидко перетворитися на багатомільйонні втрати.
