Децентрализованный протокол DefiTuna, работающий на сети Solana, сообщил, что злоумышленник вывел из его кредитных пулов около $580 тысяч. Атака пришлась на пул в стейблкоине USDC, и главное здесь не сумма, а дефицит: обязательства пула перед вкладчиками теперь превышают его активы ровно на эту величину. Что такое пулы ликвидности и как устроено кредитование в DeFi, разбираем в разделе про термины. Команда заявила, что уязвимость найдена и закрыта, но расследование ещё идёт.

Механика показательна. DefiTuna совмещает маркет-мейкера, кредитование и позиции с плечом: пользователи вносят активы, другие берут под них займы, доход зависит от загрузки пула. По предварительным данным, взломщик использовал не украденный ключ и не фишинг, а слабость в кредитной логике контракта — заставил протокол разрешить несанкционированный вывод, — как отмечается в разборе инцидента. Кошельки пользователей при этом напрямую не пострадали: удар пришёлся по общему пулу.

Дальше начинается самое неприятное — динамика набега. Пока большинство вкладчиков остаются на месте, пул работает и выплаты идут; но если многие бросятся выводить средства одновременно, тем, кто окажется последним, может не хватить. У команды есть три пути закрыть дыру: покрыть её из казны протокола, распределить убыток на всех вкладчиков или попытаться вернуть деньги у атакующего — DefiTuna говорит, что работает над возвратом. По меркам тяжёлого для Solana 2026 года сумма скромная, но настораживает закономерность: атакующие всё чаще целятся не в код бирж, а в учётную логику кредитных протоколов.

Мой вывод. На мой взгляд, ключевое слово здесь — «дефицит», и его легко недооценить. Это не абстрактный убыток компании: не хватает именно тех денег, которые внесли вкладчики USDC, и вопрос лишь в том, кто закроет разрыв. Отсюда практический риск набега: сам факт дыры создаёт стимул выводить средства первым, что способно превратить локальную проблему в цепную. Отмечу и вектор: пострадала не криптография, а бизнес-логика кредитования — контракт сделал ровно то, что ему велели фальшивые вводные. Показательной станет реакция команды: разбор, план закрытия дефицита и повторный аудит остальных контрактов.

Материал носит информационный характер и не является инвестиционной рекомендацией — DYOR. Больше о рисках протоколов и защите активов — в разделе про безопасность.