Как мы могли вынести лайтер на $500000?

В очередной вечер, тыкаясь в лайтере и разбираясь с аккаунтами, я заметил, что их реферальная система работает с багом: для клейма инвайта не нужна была авторизация или подпись с кошелька. То есть если добавить кошелек в контакты в ребби, можно было заклеймить свой инвайт, используя другой кошелек, если до этого он не клеймил другой инвайт.

Изначально я попробовал с рандомным кошельком и подумал, что подойдут адреса, которые еще не создавали аккаунты на лайтере. План был загнать топ кошельков дебанка и хайперликвида. Я бы просто раскинул удочки и ждал, когда кто-то из них зайдет на лайтер и начнет торговать ведь эти кошельки гарантированно занесли бы большие объемы.

Проблема на тот момент была в автоматизации и рефке. У меня самого был только один аккаунт с открытой рефкой, и то она позволяла загнать всего 3 аккаунта. Но инфлы могли сделать рефку хоть на 10к активаций, и я обратился за помощью. Уже вечером того же дня мне дали софт и неограниченную рефку, и я начал загонять.

Примерно в это же время я нашел очень удобный дешборд по лайтеру (lighter.gg) и на шару решил загнать один акк из лидерборда. Получилось. То есть загонять можно было и те кошельки, которые уже торговали на лайтере, но не заклеймили инвайт.

В этот вечер я загнал все акки из лидерборда с индексом >190000 (все, кто ниже, зашли в момент беты и точно были зарефаны). Среди них сделать своими рефами получилось примерно 10 аккаунтов. Дальше я просто парсил из API аккаунты с большими балансами и загонял их по рефке. Там уже саксес рейт был небольшой, все-таки большую часть поинтов делали рефералы из топ-100.

Это продолжалось почти 2 месяца. По началу я скептически относился к такому выносу, все-таки схема была очень простая и очевидная. Но чем дольше нас не брили, тем больше я начинал верить в чудо.

В конце ноября, в день раздачи поинтов, баг пофиксили и сбрили 12000 заабуженных таким образом поинтов. Больше половины из них были наши.

Каков итог? Все-таки на один из моих акков, куда я ручками загонял адреса для теста, не сбрили одного реферала. С него я получил целых 30 поинтов🤯🤯 . Аккаунты, на которые была основная ставка, сбриты подчистую.

Я общался с кодером, который тоже обнаружил этот баг (даже раньше меня), но вместо абуза решил зарепортить о нем команде. В качестве награды человеку, который «спас» им больше $700000 от абузеров, контора насыпала ему сумму, меньше 0,5% от спасенных поинтов))