Платформа UNCX Network (ранее Unicrypt) подтвердила, что ее смарт-контракты Vesting V2 подверглись эксплуатации, в результате которой суммарные потери в четырех блокчейнах достигли примерно $1,49 млн. Первая атака была зафиксирована 14 октября 2026 года в Ethereum: специалисты Blockaid сообщили о выводе около $86 тыс. из общего вестингового пула. К 15 октября ущерб вырос более чем в 17 раз из-за действий копирующих кошельков и MEV-ботов.
По данным Blockaid и исследователей ExVul, причина — ошибка учета в контракте VestingManager. Функция release() уменьшала общий объем долей, но не удаляла высвобожденные доли из записи депозита позиции, из-за чего последующая отмена списывала те же доли повторно. Атакующий создавал вестинговые позиции, высвобождал крупную позицию, возвращал токены и отменял пополненную позицию, после чего небольшая остаточная позиция позволяла выводить средства, обеспечивающие депозиты других пользователей. Ключи не компрометировались.
Распределение потерь: около $969 тыс. в BNB Smart Chain, $242 тыс. в Ethereum, $169 тыс. в Robinhood Chain и $114 тыс. в Base. Инцидент затронул десять токенов: pepecoin, EDGEN, ZC, X, LO0P и PAAL в Ethereum; IMO в Base; BTCLE в BNB Chain; CASHCAT и RKST в Robinhood Chain. UNCX заявила, что ее liquidity lockers и старые вестинговые контракты не пострадали. Для сдерживания атаки платформа подняла фиксированные комиссии выше 1000 ETH за новый лок, убрала пути обхода комиссий и увеличила комиссии токенов до максимальных 5%. На момент выявления атаки в затронутом контракте Ethereum оставалось около $3,25 млн.
UNCX координирует действия с правоохранительными органами и SEAL 911, готовит план возврата средств. По состоянию на 15 октября ни один из злоумышленников не вернул средства, а торговля в пострадавших пулах не рекомендуется до заявлений команд соответствующих токенов. Полный технический отчет ожидается на текущей неделе.
