Rocket призупинила депозити, виведення коштів та торгівлю після того, як зловмисник маніпулював неактивним безстроковим ринком і вивів приблизно 287 000 доларів США позитивного PnL (прибутку та збитку) з мосту платформи.
Rocket заявила в оновленні від 7 вересня на X, що інцидент безпеки стався приблизно о 19:00 за UTC 5 вересня, коли зловмисник націлився на неактивний безстроковий ринок, використовуючи одноразовий акаунт.
Зловмисник розміщував ордери за штучно завищеними цінами та торгував сам із собою, створюючи штучні прибутки на одному акаунті, тоді як одноразовий акаунт банкрутував. Згодом прибутковий акаунт вивів близько 287 000 доларів США через Міст, залишивши отриманий збиток для соціалізації по всій платформі.
Замість опису вразливості смарт-контракту, початковий звіт Rocket про інцидент зосередився на маніпуляції неактивним безстроковим ринком з обмеженою активністю.
Використовуючи одноразовий акаунт, зловмисник зміг розміщувати ордери за завищеними цінами, перш ніж виступати обома сторонами угод. Rocket заявила, що транзакції генерували «фальшиві прибутки» для одного акаунта, тоді як одноразовий акаунт накопичував відповідні збитки та став неплатоспроможним.
Акаунт, що демонстрував позитивний PnL, потім вивів приблизно 287 000 доларів США через Міст до того, як діяльність була припинена.
Відтоді Rocket призупинила всю торгівлю, депозити та виведення коштів, поки її команда розслідує інцидент. Проєкт не надав термінів відновлення постраждалих послуг і не розголосив, скільки користувачів постраждало від соціалізованого збитку.
Трекер безпеки блокчейнів SlowMist класифікував інцидент як атаку з маніпуляцією цінами та зафіксував збиток у розмірі 287 000 доларів США.
Метод має схожість з попередніми інцидентами на тонких безстрокових ринках, де трейдери могли маніпулювати цінами або позиціями та перекладати отримані збитки на постачальників ліквідності або інші частини торгової платформи.
У березні 2025 року трейдер націлився на тонкий ринок JELLY від Hyperliquid, відкривши велику коротку позицію, одночасно купуючи токен на децентралізованих біржах. Ця діяльність різко підвищила ціну JELLY та підштовхнула коротку позицію до ліквідації, зрештою перевівши позицію до сховища ліквідності Hyperliquid.
Як раніше повідомляв crypto.news, Hyperliquid обмежив акаунти трейдера до режиму «лише для зменшення», перш ніж валідатори пізніше проголосували за виключення безстрокового ринку JELLY з лістингу та врегулювання відкритих позицій.
Окремий інцидент з Hyperliquid у березні 2025 року призвів до того, що його сховище HLP поглинуло близько 4 мільйонів доларів США збитків після того, як трейдер вивів забезпечення з високоплечової позиції по Ether перед ліквідацією. Hyperliquid заявила тоді, що подія не була експлойтом протоколу, і згодом змінила вимоги до кредитного плеча для позицій з Bitcoin та Ether.
Через призупинення роботи платформи Rocket заявила, що співпрацює з фірмами з безпеки та правоохоронними органами для розслідування атаки та повернення коштів.
Команда координує дії з криптовалютними біржами, крос-чейн мостами та емітентами стейблкоїнів, щоб відстежити викрадені активи та спробувати їх заморозити. Rocket не розголошує особи фірм з безпеки чи правоохоронних органів, залучених до розслідування.
Подібні заходи використовувалися після інших нещодавніх інцидентів DeFi, особливо коли зловмисники намагаються перемістити кошти через мости або централізовані торгові майданчики.
AFX постраждала від експлойту крос-чейн мосту в липні, який вивів 24,15 мільйона USDC. Фірма з безпеки Blockaid працювала з командою Arbitrum для розслідування інциденту, оскільки зловмисник перевів викрадені USDC на Ethereum та конвертував виручені кошти в 12 467,5 ETH.
Раніше в червні Axelar відключила мостові маршрути, підключені до Secret Network, після того, як експлойт призвів до збитків у розмірі близько 4,7 мільйона доларів США. Axelar заявила, що інцидент був обмежений мостовими активами на Secret Network і не скомпрометував її основний протокол.
Rocket не розголосила, чи була заморожена або повернена якась частина з 287 000 доларів США наразі.
Команда готує план відшкодування для користувачів, які постраждали від інциденту, при цьому менші акаунти очікується, що отримають пріоритет при початку виплат.
Rocket заявила, що розуміє, що компенсація – це оновлення, на яке чекають постраждалі користувачі, але надасть конкретні деталі лише тоді, коли зможе зробити це відповідально. Платформа ще не розголосила розмір доступних коштів для відшкодування, критерії прийнятності, спосіб оплати або графік відшкодувань.
Програми відшкодування мали різні форми після попередніх атак на децентралізовані торгові протоколи.
GMX, наприклад, завершила план компенсації на суму близько 44 мільйонів доларів США в серпні 2025 року для постачальників ліквідності, постраждалих від експлойту її пулу GLP V1. Протокол використовував токени GLV для розподілу, а його скарбниця DAO покрила дефіцит у 2 мільйони доларів США.
Зловмисник GMX раніше повернув приблизно 37,5 мільйона доларів США з близько 42 мільйонів доларів США, викрадених після того, як протокол запропонував 10% винагороду для білого хакера. Постраждала система V1 була призупинена після атаки, тоді як GMX V2 продовжував працювати.
Rocket не оголошувала подібну винагороду і не пропонувала умови безпосередньо зловмиснику. Її поточні зусилля з відшкодування залишаються зосередженими на відстеженні виведених коштів та розробці плану відшкодування.
Платформа попередила користувачів бути уважними щодо самозванців, які намагаються скористатися інцидентом. Rocket заявила, що інформація про відшкодування буде опублікована лише через її офіційний обліковий запис X та канали Discord, додавши, що члени команди не зв'язуватимуться з постраждалими користувачами спочатку через прямі повідомлення.
ETH
USDC