⭐️ RISEx | Мини-эксплойт ⭐️
📌 3 августа из XLP-vault DEX-а RISEx
вывели 673k USDC.e. Проект оперативно раскрыл инцидент и заявил, что убытки компенсированы. Есть пара интересных моментов, давайте кратко разберем, тем более RISEx многие фармят (я - скип)
🤩 RISEx - полностью onchain perps/spot DEX на RISE Chain (Ethereum L2). Бэкер Galaxy Ventures, ≈$8m seed, среди ангелов Vitalik, Stani Kulechov, Sandeep Nailwal.
🔍 Что произошло по ончейну:
🔵️ 03.08.2026, 07:21:58 UTC - вывод 673k USDC.e из RWA-части XLP-vault.
🔵️ Механика: атакующий задеплоил свой роутер за 13 секунд до эксплойта (07:21:45) и сдрейнил средства через недостаточно безопасно сконфигурированную RWA-стратегию. Посути это чистая ошибка конфигурации деплоя.
🔵️ Средства сразу сбриджены с RISE через LayerZero: 350k на Ethereum + 323k на Base (после LZ-fee доставлено ≈672 009,57). Конечная точка НЕ прослеживается.
⏩ Что команда сделала хорошо
🔵️ Быстро закрыли дыру: повторные попытки дрейна в 07:50 и дважды в 08:12 — ВСЕ reverted. Успешных выводов после 07:21:58 нет.
🔵️ Пользовательские (не-RWA) средства не тронуты.
🔵️ Масштаб ≈4% TVL (протокол ≈$16,8m до инцидента) - ниже withdrawal-лимитов.
🔵️ Публично раскрыли инцидент в тот же день и пообещали постмортем.
😨 По части компенсации команда заявила, что вкладчикам все компенсировано за ≈48 минут из июльских комиссий. C небольшими нюансами, но ончейн картину подтверждает:
1️⃣ Восстановительный перевод 672k USDC.e пришёл в 10:26 UTC - это ≈3 часа 04 минуты после эксплойта, а не 48 минут.
2️⃣ Из этих 672k команда СНАЧАЛА (в 09:16) вытащила 637,4k из ТОГО ЖЕ vault, а потом вернула обратно. То есть это в основном рецикл средств самого vault. Возможно это накопленные комиссии, а возможно средства команды.
3️⃣ Чистый внешний долив ≈$34,6k. Итоговая недосдача ≈$1k - но будем считать что баланс сошелся.
🤓 Вцелом команда оказались молодцы, кризис-менеджмент оперативный. Обещают еще посмортем, м.б. там подробнее расскажут об уязвимости. Пока выдыхаем, но не алл-иним в эти перп-дексы.
