$1,58 млн исчезли за минуты – как управляли служебным токеном

Слабая защита токена с небольшой капитализацией позволила злоумышленнику быстро захватить управление и наглядно показала, какие угрозы по-прежнему актуальны для систем голосования в DeFi.

Сегодня компании, занимающиеся защитой в блокчейне, зафиксировали эксплойт на $1,58 млн, связанный с токеном Token of Power ($TOP). Злоумышленник получил контроль над управлением, выпустил миллиарды новых токенов и вывел ликвидность из пула Balancer V1.

<h2 class="bic-gutenberg-heading wp-heading wp-block-heading" id="h-how-the-attack-happened">Как произошла атака</h2>

Через Tornado Cash адрес атакующего получил больше 50% голосующих токенов $TOP благодаря ограниченному предложению и низкой стоимости токена.

В системе Aragon DAO с MiniMeToken злоумышленник сконцентрировал у себя более половины из общего выпуска 16 384 токенов TOP.

За одну транзакцию он создал, проголосовал и провел вредоносное предложение. После этого TokenManager выпустил 10 млрд токенов TOP напрямую на адрес контракта злоумышленника.

Далее атакующий обменял новые токены на 944,2 WETH (примерно $1,585 млн) в пуле TOP/WETH Balancer V1, полностью выкачав из него ликвидность.

<figure class="wp-block-embed is-type-rich is-provider-x wp-block-embed-x"><div class="wp-block-embed__wrapper">
<blockquote class="twitter-tweet">🚨ALERT🚨Our system has detected a suspicious transaction involving Token of Power ($TOP), resulting in losses of approximately $1.58 million. An address funded through <a href="https://x.com/TornadoCash?ref_src=twsrc%5Etfw">@TornadoCash</a> executed a malicious transaction that drained funds from the TOP/WETH Balancer V1 Pool. The… <a href="https://t.co/ewpQTmDA8s">pic.twitter.com/ewpQTmDA8s</a>— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) <a href="https://x.com/CyversAlerts/status/2064335152440844753?ref_src=twsrc%5Etfw">June 9, 2026</a></blockquote>
</div></figure>

<a href="https://go.beincrypto.com/beincrypto-X" rel="noreferrer noopener" target="_blank">Подписывайтесь на нас в X</a>, чтобы узнавать новости первыми

<h2 class="bic-gutenberg-heading wp-heading wp-block-heading" id="h-security-warnings-issued">Предупреждения по безопасности</h2>

Команда BlockSec Phalcon <a href="https://x.com/Phalcon_xyz/status/2064338161573269887?s=20" rel="noreferrer noopener nofollow" target="_blank">описала</a> детали взлома и порекомендовала провести срочные проверки:

<blockquote class="max-w-xl text-4.5 border-l-2 border-blue-600 pl-11 mb-9 select-all [&_p]:!mb-0 wp-block-quote is-layout-flow wp-block-quote-is-layout-flow">
«Проекты с похожей системой управления на базе Lido/Aragon должны внимательно проверить распределение прав голоса, кворумные и пороговые значения, права на выпуск новых токенов и другие механизмы защиты управления».
</blockquote>

Похищенные средства были отправлены обратно через Tornado Cash, из-за чего вернуть их оказалось крайне сложно. Баланс протокола Balancer не пострадал.

<h2 class="bic-gutenberg-heading wp-heading wp-block-heading" id="h-market-context-and-investor-impact">Что происходит на рынке и как это влияет на инвесторов</h2>

Взлом $TOP стал частью <a href="https://ru.beincrypto.com/ekspluataciya-syscoin-bridge-5-milliardov-sys/" rel="noreferrer noopener" target="_blank">серии атак на управление</a> в небольших DeFi-проектах c начала 2026 года, где низкая ликвидность и слабые параметры защиты позволяли легко захватить контроль.

Крупные протоколы усилили защиту с помощью таймлоков и увеличения кворума, однако для многих новых токенов подобные риски сохраняются.

Участникам рынка с токенами малой капитализации и поставщикам ликвидности стоит внимательно относиться к параметрам управления, отслеживать концентрацию токенов у крупных держателей и избегать непроверенных пулов.

Проекты, построенные на аналогичных технологиях, скорее всего, столкнутся с дополнительным вниманием аудиторов и требованиями к обновлению механизмов безопасности.

Для всей индустрии инцидент вновь напоминает: продуманная система управления критична для сохранности средств в условиях все более продвинутых и дешевых атак.

Оставайтесь внимательными и выбирайте решения с проверенной и надежной архитектурой.
The post <a href="https://ru.beincrypto.com/milliony-ischezayut-malenkie-tokeny-upravlenie-topy/">$1,58 млн исчезли за минуты – как управляли служебным токеном</a> appeared first on <a href="https://ru.beincrypto.com">BeInCrypto</a>.