Блокчейн Injective приостановил обработку блоков на фоне возможного взлома

Хронология инцидента

Сеть первого уровня Injective не обрабатывала блоки в течение 3 часов 42 минут 31 августа 2026 года. Остановка зафиксирована на высоте блока 181 027 006. В сообществе проекта высказывались предположения о взломе как причине сбоя.

По оценкам ончейн-аналитиков, ущерб от предполагаемой атаки составил от 4,6 до 4,9 миллиона долларов США. Точная сумма на момент публикации данных не установлена. Команда проекта не предоставила оперативного комментария, при этом на официальной странице продолжали размещаться рекламные сообщения, что вызвало критику со стороны пользователей.

Механизм предполагаемой атаки

Исследователь под псевдонимом Yi описал вероятную схему эксплуатации уязвимости. Злоумышленник использовал бинарные рынки Injective и их привязку к страховым фондам. Торгуя между собственными субаккаунтами, он последовательно открывал и закрывал длинные и короткие позиции. Это создавало ситуацию, при которой протокол учитывал больше средств к возврату, чем фактически находилось в системе.

Ключевая уязвимость заключалась в формировании идентификатора market_id. Параметры рынка объединялись без разделителей, поэтому различные наборы данных могли получить одинаковый идентификатор. Это позволяло связать рынок, номинированный в USDC, со страховым фондом в токене INJ. При расчете дефицита протокол сопоставлял числовые значения разных активов напрямую, не учитывая разницу в их стоимости.

В результате небольшой объем INJ ошибочно признавался достаточным для покрытия недостачи в USDC. Система не сокращала выплаты, и оставшиеся позиции получали полный возврат. В одном из задокументированных случаев злоумышленник внес около 44 099 USDC, а вывел 62 667 USDC. Разница по одной транзакции составила примерно 18 568 USDC.

Контекст и другие инциденты

Остановка Injective произошла на фоне серии аналогичных событий в блокчейн-индустрии. Ранее в offline-режим переходили сети Fogo и Cronos. В обоих случаях фигурировали инциденты в области кибербезопасности.

Примечательно, что злоумышленник эксплуатировал не классическую уязвимость смарт-контракта, а логическую ошибку в механизме сопоставления данных. Проблема с идентификатором market_id относится к категории недостатков архитектуры протокола, а не к внешнему взлому приватных ключей или компрометации инфраструктуры. Инцидент подчеркивает важность аудита внутренних механизмов расчетов в децентрализованных финансовых (DeFi) протоколах, особенно в части взаимодействия между различными типами активов и страховых пулов.