## Експлойт Unleash Protocol: як $3,9 млн коштів була виведена через вразливість управління

Безпекові дослідники з PeckShield виявили серйозний інцидент на децентралізованій платформі Unleash Protocol, яка працює на основі Story Protocol. Зловмисник скористався вразливістю в системі мультипідписного управління та успішно вивів близько $3,9 млн користувацьких активів. Інцидент продемонстрував критичне значення захисту адміністративного контролю в DeFi-екосистемі.

## Анатомія злому: від несанкціонованого доступу до виведення коштів

Атака розпочалася з компрометації мультипідписного механізму Unleash Protocol. Зловмисник отримав несанкціонований адміністративний доступ та впровадив не затвердже оновлення смарт-контракту, яке обійшло стандартні процедури схвалення. Це дало зловмиснику прямий контроль над протоколом і можливість вивести кошти із контрактів без внутрішнього дозволу команди.

Після виведення активів з протоколу зловмисник почав розділяти викрадені кошти на невеликі частини для затруднення відстеження. На блокчейні Ethereum було записано депозити у формі 1 337,1 ETH, які надійшли до Tornado Cash — популярного інструменту приватності для приховування походження транзакцій. Система багаторазових депозитів (від малих сум до партій по 100 ETH) була очевидно спрямована на змішування активів через міксер-протокол для усунення зв'язку між викраденими коштами та первісним джерелом.

## Які активи потрапили під удар

Під час експлойту були скомпрометовані кілька ключових токенів екосистеми: WIP, USDC, WETH, stIP та vIP. Усі ці активи були виведені поза межами затвердженого управління без узгодження з основною командою. Команда Unleash Protocol наголосила, що інцидент обмежується виключно контрактами самого протоколу — Story Protocol, її валідатори та базова інфраструктура залишилися недоторканими.

## Дії платформи та рекомендації користувачам

Невдовзі після виявлення вразливості Unleash Protocol призупинив всі операції для запобігання подальшим втратам. Команда розпочала розслідування разом із незалежними фахівцями з безпеки та судовими експертами. На поточний момент користувачам настійно рекомендується утримуватися від взаємодії з контрактами Unleash Protocol до виходу офіційних оновлень щодо виправлення вразливості.

Цей інцидент повторно демонструє важливість регулярних аудитів безпеки, множинного підтвердження для критичних операцій управління та здійснення адекватного моніторингу адміністративного доступу в DeFi-протоколах.