$3.1 млн за одну строку кода: ошибка в GANA Payment обнулила смарт-контракт

Проект GANA Payment на BNB Chain столкнулся с ситуацией, в которой контроль над ключевым контрактом внезапно оказался у неизвестного. Первым на это указал аналитик zachxbt, заметив движение средств, не совпадающее с обычной активностью проекта. Пока команда пыталась разобраться, что происходит, с адресов уже были выведены 3.1 млн долларов. После этого команда проекта признала, что один из ключевых контрактов подвергся несанкционированному вмешательству, повлёкшему утрату средств.

По доступным данным, неизвестный злоумышленник получил контроль над контрактом GANA, сумев оформить права владельца на себя. Такой сценарий обычно возможен либо из-за компрометации приватного ключа, либо вследствие ошибок в управлении доступом. Получив полный контроль, атакующий вывел активы на сумму около 3,1 млн долларов.

Часть украденных средств примерно на 1 млн долларов вскоре прошла через Tornado Cash. Этот шаг позволил разбить транзакции на множество мелких и затруднить отслеживание движения токенов. Остальные активы остались распределены по различным кошелькам, связанным с адресами злоумышленника.