GMX зазнав хакерської атаки на 42 мільйони доларів! «Вразливість повторного входу» спричинила шкоду, офіційний звіт розкриває план компенсації

Стара децентралізована біржа безстрокових ф'ючерсів GMX зазнала хакерської атаки на V1, розгорнуту на Arbitrum, 9 липня, внаслідок чого було втрачено до 42 мільйонів доларів. Цей інцидент знову збудив тривогу щодо безпеки в сфері децентралізованих фінансів. 10 липня ввечері за тайванським часом GMX опублікувала детальний звіт на платформі X, в якому розкрила основні причини атаки, первинні заходи реагування та подальші плани, а також пояснила, як буде компенсовано постраждалим користувачам.

GMX зазнав атаки з причини: «вразливість повторного входу» була використана

Згідно з офіційним звітом GMX, атака сталася 9 липня 2025 року о 12:30 (UTC), зловмисники використали вразливість "атаки повторного входу" (re-entrancy attack) в GMX V1 на Arbitrum. Хакери безпосередньо викликали функцію increasePosition у контракті Vault, обійшовши механізм, який у звичайному процесі обчислює середню коротку ціну за допомогою контрактів PositionRouter і PositionManager.

Атакуючи, зловмисники маніпулювали середньою ціною короткої позиції біткойна, знизивши її з 109 505,77 доларів до 1 913,70 доларів, і скориставшись闪电贷款 купили GLP (ліквідний токен GMX) за 1,45 долара, відкривши позицію на 15,38 мільйона доларів, в кінцевому підсумку підвищивши ціну GLP до понад 27 доларів і отримавши величезний прибуток.

Звіт вказує на те, що точка атаки знаходиться в певній функції контракту OrderBook, незважаючи на те, що ця функція має модифікатор nonReentrant, вона може лише запобігти повторним входам в межах одного контракту і не може запобігти міжконтрактним атакам. Це вказує на можливі безпекові сліпі зони в DeFi-протоколах під час складних взаємодій.

Попередні заходи GMX та подальші плани

У зв'язку з цим, GMX швидко вжила заходів після виявлення уразливості, призупинивши торгівлю на Avalanche, щоб уникнути розширення збитків, та зв'язалася з Arbitrum, біржею, мостовими протоколами та емітентами стейблкойнів (такими як Circle, Tether, Frax) для відстеження вкрадених коштів, одночасно спілкуючись з нападниками через повідомлення в ланцюгу. GMX додатково підтвердила, що GMX V2 не має подібних уразливостей, оскільки обчислення середньої ціни короткої позиції та виконання замовлень відбувається в одному контракті.

Для вирішення наслідків атаки та захисту прав користувачів GMX запропонував такі конкретні плани:

Розподіл фондів та резерви компенсацій: наразі в GLP пулі знаходиться близько 3,6 мільйона доларів США в токенах, які утримуються через непогашені позиції. Витрати на GLP V1 на Arbitrum становлять приблизно 500 тисяч доларів США (після вирахування 30% комісії за автоматичний обмін на GMX), які будуть перераховані до GMX DAO скарбниці для компенсації постраждалим власникам GLP. Залишкові кошти GLP на Arbitrum будуть перерозподілені до компенсаційного пулу для заявок постраждалих власників GLP.

Заборонено випуск та викуп GLP: Випуск та викуп GLP на Arbitrum буде заборонено. Випуск GLP на Avalanche буде заборонено, але функція викупу залишиться відкритою, що дозволить користувачам гнучко управляти.

Управління позиціями та замовленнями: Після вимкнення викупу GLP на Arbitrum, функція закриття позицій V1 на Arbitrum та Avalanche буде активована, що дозволить користувачам закривати існуючі позиції. Але функція відкриття позицій V1 не буде активована, щоб запобігти повторенню подібних атак. Існуючі замовлення V1 на Arbitrum та Avalanche більше не будуть виконуватися, користувачі повинні самостійно скасувати всі замовлення V1.

Обговорення подальшого управління: GMX DAO розпочне обговорення управління, щоб спланувати подальші заходи компенсації, забезпечити справедливий розподіл залишкових коштів та розробити довгострокову стратегію запобігання.

Підтримка стейкінгу esGMX: Користувачі, які використовують GLP для стейкінгу esGMX на Arbitrum та Avalanche, можуть продовжувати стейкінг. Користувачі на Avalanche можуть в будь-який час викупити GLP, але якщо GLP не використовується для стейкінгу, рекомендується провести викуп.

Пропозиції щодо форку GMX V1: GMX закликає всі проєкти форку V1 вжити двох заходів для запобігання подібним атакам:

1. Заборонити використання функції кредитного плетіння;

2, обмежити випуск GLP.

Подія з GMX знову підкреслила складні проблеми безпеки, з якими стикаються DeFi протоколи в умовах швидкого розвитку. Незважаючи на те, що GMX швидко відреагував і оприлюднив детальний звіт та план компенсації, цей інцидент все ще нагадує всім учасникам DeFi про необхідність залишатися на чеку щодо потенційних вразливостей смарт-контрактів, насолоджуючись зручностями, які надає децентралізоване фінансування. Це також спонукало всю екосистему DeFi до більш глибокого осмислення безпеки протоколів та управління ризиками.