🚨 XPR Network взломали. Баг в контракте прожил в проде больше 4 лет

В сети XPR Network (бывший Proton, Antelope/EOS-совместимая экосистема) произошёл взлом контракта proton.swaps.
Причина — почти хрестоматийная: underflow в withdraw. Отрицательное значение переданное в контракт, при определенных значениях превращалось в огромное число (ну это когда из 0 байтов вычитаешь 1 и получаешь 255... элементарная ошибка). Уязвимость сидела в контракте с марта 2022 года — именно тогда последний раз обновлялся код.

💰 Масштаб
Слив начался в субботу 20:24 МСК и опустошил пулы за 11 минут. Дальше атакующий использовал украденное как залог и занял ещё ~563M XPR через lending.loan, выводя средства на KuCoin, MEXC и тд.
По итоговому разбору MADBLOCKS (block producer сети), всего из proton.swaps утекло:
1.556 млрд XPR
плюс LOAN, SNIPS, METAL, MINT, STRX, XUSDC, XMD и ещё ряд токенов
Атакующих было двое: второй (winterbloom4) успел воспользоваться той же дырой буквально за 20 минут до патча.
🛡 Но дальше Metallicus + 16 block producers сработали слаженно и быстро:
🔹 00:32 — патч для proton.swaps, контракт на паузе
🔹 1:49 — заморозка счетов через multisig, подписанная 16 BP
🔹 3:26 — скомпрометированные аккаунты переведены под recovery key
🔹 10:13–10:48 (воскресенье) — распутывание: 565M XPR возвращено в LOAN с процентами, залоги выкуплены, средства сведены в recoverfunds
Итог по восстановлению: 14 из 15 украденных токенов возвращены практически на 100%. Даже 563M XPR, занятые через LOAN, вернули в протокол с процентами.
Реально не восстановлено: 18,778 XMT второго атакующего (продал на Alcor до патча) и около 310K METAL, ушедших на биржу.

⏳ Но история не закончилась за одну ночь
Активы вернули быстро, а вот сами сервисы — swap и bridge — на паузе. Пользователи жаловались на зависшие переводы через bridge и на ошибки свопа на Metal X, команда обещала включить сервисы только "после полной проверки", без конкретных сроков.

🤖 Атакуют
Скорее всего подобных находок будет больше, потому что сегодня старые контракты массово анализируют с помощью ИИ-агентов. Код, годами лежавший нетронутым, внезапно становится объектом автоматического поиска уязвимостей — и баг, который жил в проде 4+ года, тому подтверждение.

Для XPR это одновременно серьёзный удар и показательный кейс: 16 block producers и команда протокола за одну ночь смогли остановить эксплойт и вернуть почти все средства — редкий пример того, как децентрализованная координация реально работает в кризис.
#EOS #Vaulta #XPR #Proton #Antelope #Web3 #DeFi #Security