💀 Altura Trade | Банк-ран на доверии 💀
Уже чуть ли не каждый день появляются новости о взломе очередного протокола, но сегодня попался новый интересный кейс банк-рана на потери доверия.

📌 21 июня на HyperEVM посыпался yield-протокол Altura: за 24 часа из флагманского vault'а (был ~$40m) вывели больше $8,5m (≈22% TVL), токен ваулта $AVLT сложился на 11%, CEO объявил orderly wind-down. Но хака не было - это паника, прилетевшая по «слою верификации»

🔍 Что за Altura
🔵️Депозит USDT → доход через funding-rate арбитраж, маркет-мейкинг, RWA и стейкинг по PPS-модели.
🔵️CEO Ranveer Arora, команда ex-Fidelity/PwC, привлекли $4m, запуск в декабре 2025.
🔵️Аудиты от Adevarlabs, Omniscia, Sherlock. Peak TVL $39m, >2000 депозиторов, шла pre-TGE кампания с оценкой $150m FDV.

📃 Хронология событий:

1️⃣ 20 июня (первый триггер): PoR-провайдер (верификатор резервов) Accountable разрывает договор с Main Street Finance → их стейбл msUSD теряет привязку (сейчас стейбл по $0,24). Altura пользовалась тем же верификатором, но прямой экспозиции к msUSD не имела.

2️⃣ 21 июня 07:42 UTC: команда Altura заявляет: «никогда не имели экспозиции на Mainstreet», обработано >$5m выводов, ликвидность есть.

3️⃣ 21 июня ≈19:00 UTC (ч/з 11 часов): CEO Ranveer Arora объявляет orderly wind-down vault'а.
Т.е. останавливают прием средств, сворачивают все стратегии и позиции и упорядоченно возвращают всем средства.

⚠️ Реальный контур заражения
Accountable (верификатор)
→ Main Street (msUSD depeg)
→ Morpho msY/USDC (100% utilization, borrow rate 138%), где msY - yield токен, выдаваемые после стейка msUSD;
→ Morpho AlphaUSDC vault ($18m exposure).
→ страх на Altura, потому что верификатор тот же.

🚩 Сразу нашлись Красные флаги от аудитора KYP.one - grade надежности F (0/100)
🔵️ OPERATOR (EOA) мог вывести активы через moveAssets() без multisig и timelock. Т.е. определенный обычный (даже не мульти-сиг) кошелек мог вывести все активы куда угодно.
🔵️ REPORTER (EOA) мог менять PPS - maxPpsMoveBps выставлен в 0. Т.е. определенный кошелек при депозите средств мог задать любую получаемую долю в Vault.
🔵️ Всего было 6 таких привилегированных кошельков с разными ролями.
▶️ По сути вкладчики доверяли все средства не смарт-контракту, а добропорядочности команды.

🤓 Вывод
Важный урок этого кейса, что общий поставщик доказательств резервов теперь умеет передавать панику между проектами. Фармите yield - теперь надо смотрите не только на аудиты и APY, но и на то, кто верифицирует резервы.
Ну или лучше подержать средства просто на Ledger, пока не вышел Fable 5 и не провел очередную массовую зачистку всего DeFi.

PS: ранее в посте ошибочно указал, что у Altura также были размещены средства в Morpho AlphaUSDC vault - ончейн анализ это НЕ подтверждает. Altura просто стали жертвой потери доверия к общему верификатору