Официальный сайт Compound снова был взломан: фишинговый сайт маскируется под платформу DeFi-кредитования, вызвав обеспокоенность по поводу рисков безопасности

10 марта поступила информация, что DeFi-кредитный протокол Compound Finance вновь столкнулся с инцидентом безопасности фронтенда. Несколько пользователей сообщили о необычной активности на официальном сайте проекта, который был перенаправлен на подозрительную фишинговую страницу. Этот инцидент считается последним случаем в серии атак на сайты DeFi-платформ за последнее время.

По словам команды по безопасности проекта, злоумышленники создали фишинговый сайт, подделав похожий домен «compOOnd», и перенаправляли посетителей на него. Однако команда отметила, что на данный момент не зафиксировано потерь средств пользователей, все учетные данные пострадавших инфраструктурных аккаунтов были заменены, и системный риск взят под контроль.

Это уже второе за менее чем два года подобное нападение на фронтенд Compound. Ранее, в июле 2024 года, несколько доменов DeFi-проектов, размещённых на Squarespace, были атакованы хакерами, и сайт Compound также пострадал. Эксперты по безопасности отмечают, что с ростом автоматизации инструментов фишинга технический порог для подобных атак снижается.

В этом случае причина, по которой средства пользователей остались невредимыми, частично связана с отличиями в способах развертывания ключевых интерфейсов для транзакций. Согласно официальной информации, поддомен app.compound.finance, используемый для подключения кошельков и выполнения транзакций, работает через сеть IPFS, что позволяет команде по безопасности независимо проверять целостность кода и снижать риск вмешательства со стороны фронтенда.

Несмотря на то, что данный инцидент не привёл к финансовым потерям, для Compound, ранее входившего в число ведущих DeFi-протоколов, серия недавних проблем продолжает подрывать доверие рынка. За последние годы проект неоднократно сталкивался с операционными и управленческими спорами. Например, ранее DAO Compound подвергалось критике со стороны сообщества из-за потенциальных конфликтов интересов с поставщиком услуг по управлению рисками Gauntlet.

Ранее, в 2022 году, ошибка в операциях привела к приостановке работы рынка cETH стоимостью более 8 миллиардов долларов примерно на неделю, пока не были выполнены технические исправления. Также в 2021 году в ходе обновления протокола произошли ошибки при распределении наград, в результате чего около 1,5 миллиарда токенов были случайно выданы пользователям.

Аналитики отмечают, что с расширением масштаба DeFi-индустрии безопасность фронтенда, защита доменов и прозрачность управления становятся важными факторами для долгосрочной стабильности протоколов. Для платформ кредитования любой уязвимый сайт может стать важным входом для злоумышленников, осуществляющих фишинговые атаки.