Из двух lending-хранилищ протокола Affluent в сети TON — TON Lending Vault и USDT Lending Vault — с 30 сентября по 16 октября вывели около 782 тыс. Gram и 13,8 тыс. USDT, примерно $1,17 млн по курсу на момент вывода. Вкладчики этих хранилищ не могут забрать деньги: на кошельке USDT-хранилища на 4 ноября лежит 0,5 USDT, на кошельке TON-хранилища — 82,8 Gram, а выплат по остальным позициям нет. Публичного заявления, отчёта об инциденте или плана компенсаций Affluent не выпускал.
Затронуты держатели долей affTONl (42 адреса на 4 ноября), affUSDTl (81 адрес) и affUSDTm (70 адресов).
Что с деньгами вкладчиков
| Хранилище | Доля | Состояние на 4 ноября |
|---|---|---|
| TON Lending Vault | affTONl | на кошельке 82,8 Gram; в приложении показано $136 606 в пулах; внести и вывести нельзя |
| USDT Lending Vault | affUSDTl | на кошельке 0,5 USDT; за хранилищем в пулах числится около 17,1 тыс. USDT; внести и вывести нельзя |
| USDT Multiply Vault | affUSDTm | около $197 тыс. активов, депозиты и выводы выключены, в очереди на вывод 3 заявки на 113 076 USDT |
| Ethena Vault, Gold Multiply Vault, Sentora Vault, GRAM Multiply Vault | — | в приложении показаны $274 тыс., $239 тыс., $533 тыс. и $643 тыс. активов |
В данных обоих lending-хранилищ минимальная плата за депозит и вывод выставлена в 10 млрд Gram, то есть операции фактически закрыты. На бумаге за ними числятся позиции в кредитных пулах — около 108 тыс. Gram и 17,1 тыс. USDT, — но с 19 октября ни одно сжигание долей не принесло по ним выплат. В карточке USDT Lending Vault на странице app.affluent.org/earn значится Net Asset около $999 млрд — следствие испорченного поля учёта денег в контракте, а не реальная сумма.
Цена доли affUSDTl 7 октября была 1,068 USDT: в транзакции за 5 000 долей выплачено 5 340,12 USDT. После 16 октября доля стоит около 0,0000032 USDT: 19 октября за 466 366 695 долей выплачено 1 500,95 USDT.
Как устроены хранилища
Affluent, раньше называвшийся Factorial Finance, — протокол кредитования в TON: сайт affluent.org, приложение app.affluent.org. Хранилище принимает депозиты и раскладывает их по собственным кредитным пулам Affluent, а вкладчику выпускает жетоны-доли. Доля дорожает по мере того, как пулы зарабатывают проценты; при выводе доля сжигается, и вкладчик получает свою часть активов хранилища.
Контракт хранилища одновременно выпускает доли: адрес хранилища и есть мастер-контракт жетона affUSDTl или affTONl. Поэтому чеканка лишних долей и вывод денег — одна и та же операция.
Как вывели средства
По транзакциям видно следующее. Кредитный пул Affluent принимал поддельное уведомление о поступлении жетонов за настоящее и передавал его хранилищу, а хранилище чеканило доли, за которые не было внесено ничего. Затем эти доли сжигались, и хранилище выплачивало за них реальные Gram и USDT вкладчиков. Ни Affluent, ни аудитор причину не объясняли.
| Дата (UTC) | Что произошло | Получено |
|---|---|---|
| 30 сентября, 04:36–05:21 | чеканка 3 556 217 affTONl, 45 сжиганий | ≈505 тыс. Gram |
| 12 октября, 10:02–10:21 | 24 сжигания affTONl тем же кошельком | ≈126,8 тыс. Gram |
| 16 октября, 20:36–20:48 | чеканка 10 млрд affUSDTl и 10 млн affTONl, сжигание долей | 13 824,93 USDT и 150 041 Gram |
Итого хранилища выплатили около 781,6 тыс. Gram и 13,8 тыс. USDT. По курсу Gram в час каждой волны ($1,52, $1,42 и $1,35) это около $1,17 млн, по курсу 4 ноября ($1,18) — около $0,93 млн. Сразу после вывода средства расходились на другие адреса: 30 сентября 504,8 тыс. Gram ушли одним переводом, 16 октября 12 824 USDT отправлены в мост Symbiosis.
С 19 октября по 4 ноября чеканку и сжигание повторяли с шести новых кошельков, а 3 ноября — и с двух исходных, но выплат больше не получали. Последние такие чеканки прошли 4 ноября в 00:05 и 00:07 UTC, значит, уязвимость в контрактах на эту дату не закрыта.
Кто об этом сообщил и что ответил проект
Разбор трёх волн — с хешами транзакций волны 16 октября — опубликован 19 октября, независимое расследование, где потери оцениваются в «~$1.1M», вышло 28 октября. По словам автора расследования, 19 октября участники сообщества передали находки команде Affluent, но публичного отчёта и плана компенсаций нет.
На 4 ноября сайт и приложение Affluent работают; заявлений об инциденте нет ни на сайте, ни в документации, ни в доступных публикациях аккаунта @AffluentOrg, а ссылка на Telegram-канал проекта с сайта открывает пустую карточку без ленты.
Это не единственный такой случай в TON этой осенью: в конце октября аномальные выводы шли из моста BabyDoge.
Вопросы
Можно ли вывести деньги из Affluent
Из TON Lending Vault и USDT Lending Vault — нет: на кошельках хранилищ почти ничего, по позициям в пулах выплат нет, а плата за операции выставлена запретительной. В USDT Multiply Vault выводы выключены, заявки стоят в очереди. Остальные хранилища в приложении показывают активы.
Сколько вывели из хранилищ Affluent
Около 781,6 тыс. Gram и 13,8 тыс. USDT за три волны 30 сентября, 12 и 16 октября — примерно $1,17 млн по курсу на момент вывода.
