Уязвимости Echo Protocol минтят несанкционированные eBTC на сумму $76.7 млн.

Децентрализованный финансовый протокол Echo Protocol стал свидетелем крупного инцидента безопасности после того, как злоумышленник получил доступ к приватному ключу администратора и эмитировал примерно 1 000 eBTC токенов на блокчейне Monad. Аналитическая фирма PeckShield и сервис мониторинга Lookonchain зафиксировали взлом 19 мая, отметив, что эмитированные синтетические токены биткоина имели условную стоимость примерно 76,7 миллиона долларов.

Данные расследования указывают на то, что взлом произошёл из-за операционных некорректных настроек, а не из-за уязвимостей в коде смарт-контрактов. Роль администратора с одной подписью, отсутствие модуля управления с мультиподписью и отсутствие ограничений на выпуск позволили злоумышленнику вызвать функцию mint без активации каких-либо внутренних проверок выпуска. Механизмы таймлок и ограничения скорости протокола не были задействованы, что позволило мгновенно создать несанкционированные токены.

После выпуска монет злоумышленник попытался отмыть часть прибыли, внеся 45 eBTC в протокол Curvance для кредитования и управления ликвидностью. Злоумышленник занял 11,3 обёрнутого BTC (wBTC) против депозита, перевёл средства на Ethereum через мост и обменял токены на 384 ETH. Tornado Cash был использован как сервис для смешивания, через который прошло ETH на сумму $822,000. Блокчейн-форензика показывает, что 955 eBTC, оцененные примерно в $73 миллиона, оставались на адресе злоумышленника до того, как Echo Protocol восстановил контроль над скомпрометированным приватным ключом администратора. Администраторы протокола впоследствии сожгли 955 eBTC, нейтрализовав большую часть несанкционированного выпуска.

Заявления команды протокола подтвердили, что кросс‑чейн транзакции остаются приостановленными в ожидании полного аудита по управлению и операционных контролях. Соучредитель сети Monad Кеоне Хон подтвердил, что базовый блокчейн уровня 1 не был затронут и продолжал нормально функционировать. Curvance приостановила затронутый рынок eBTC, чтобы ограничить риск и предотвратить вторичные эксплойты.

Инцидент подчеркивает отраслевую волну взломов DeFi‑проектов в 2026 году, поскольку операционные сбои в управлении становятся центральными точками атаки. Среди примеров — взлом THORChain на 10 млн долларов 15 мая и кросс‑чейн мост Verus Protocol, который истощил 11,6 млн долларов. Совокупные потери от взломов протоколов в мае превысили 100 млн долларов, подталкивая призывы к стандартизированным операционным аудитам и моделям управления с мультиподписью в развертывании смарт‑контрактов.

Эксперты по безопасности рекомендуют внедрять контракты таймлок, лимиты выпуска, роли с мультиподписью и рамки децентрализованной автономной организации (DAO) для снижения рисков единой точки отказа. Участники отрасли ожидают постмортем‑отчёт Echo Protocol, чтобы оценить долгосрочные улучшения в управлении и планы возмещения для пострадавших поставщиков ликвидности и держателей токенов.