Ang Flash Trade ay dumanas ng $98,000 na pagsasamantala sa USDC kaugnay ng isang bug sa MagicBlock SDK, ngunit kinumpirma ng koponan na ang lahat ng pondo ng user ay ganap na sakop.
Ang palitan ng permanenteng kontrata ng Flash Trade na nakabase sa Solana ay dumanas ng hindi awtorisadong pag-withdraw ng $98,000 sa USDC noong Hulyo 22, 00:21 SGT. Ang pagsasamantala ay nagmula sa isang kapintasan sa pagpapatunay sa SDK ng MagicBlock, na nagpapahintulot sa isang umaatake na makapasok ng pekeng account sa mga pagsusuri ng undelegation ng platform.
Dagdag pa rito, ang bagong deploy na batching at monitoring system ng Flash Trade ay nag-flag ng aktibidad sa loob ng ilang minuto. Pansamantalang pinahinto ng koponan ang lahat ng deposito, pag-withdraw, at trading bilang pag-iingat.
Kinumpirma ng Flash Trade at MagicBlock na ang buong halaga ay babayaran, nang walang epekto sa mga balanse ng user.
Kapintasan ng MagicBlock SDK sa Likod ng Pagsasamantala sa Flash Trade
Ang ugat ng problema ay natunton sa isang hindi kumpletong landas ng pagpapatunay sa loob ng #[ephemeral] Anchor macro na binuo sa SDK ng MagicBlock. Ang macro na ito ay humahawak ng mga callback na ginagamit ng integrator smart contract upang iproseso ang mga kahilingan ng undelegation mula sa Ephemeral Rollup instances.
On July 22 at 00:21 SGT, Flash experienced an attack that resulted in a 98,000 USDC withdrawal from the platform.
Flash's batching and monitoring systems surfaced the activity immediately, and the team paused deposits and withdrawals within minutes. No further funds were…
— MagicBlock ✨ (@magicblock) July 22, 2026
Nag-deploy ang umaatake ng isang programa na nag-delegate ng isang gawa-gawang account na naglalayong gayahin ang isang tunay na deposito ng user.
Sa loob ng parehong transaksyon, ang account na iyon ay ipinasa bilang buffer para sa isang pahiwatig ng undelegation na magkakapatid. Sinuri ng macro na ang buffer ay isang signer na pagmamay-ari ng programa ng delegasyon, ngunit hindi nito kinumpirma kung ang buffer ay tumugma sa tamang PDA seeds.
Ang agwat na iyon ay nagpapahintulot sa account ng umaatake na makapasa bilang lehitimo, na nag-trigger ng isang invalid na resibo at nag-alis ng hadlang para sa pag-withdraw.
Sinabi ng MagicBlock na sinuri nito ang bawat iba pang programa na gumagamit ng parehong macro at direktang nakipag-ugnayan sa mga apektadong koponan.
Isang na-patch na bersyon ng SDK, 0.16.2, ang nagpapatupad na ngayon ng nawawalang pagpapatunay bilang default. Hinimok ng kumpanya ang lahat ng integrator na gumagamit ng mga naunang bersyon na mag-upgrade kaagad.
Basahin din:
https://www.livebitcoinnews.com/wanchain-cardano-bridge-exploited-515m-night-drained-from-treasury/
Tugon ng Flash Trade at Timeline ng Pagbawi ng Pondo
Sinabi ng Flash Trade na ang kanyang bagong deploy na withdrawal batching at monitoring system ay nahuli ang kahina-hinalang aktibidad halos agad-agad.
Ang trading, deposito, at pag-withdraw ay pinahinto habang sinisiyasat ng koponan kasama ang MagicBlock. Sa loob ng ilang oras, nagpatuloy ang trading, bagama’t ang mga deposito at pag-withdraw ay nanatiling offline nang humigit-kumulang 24 na oras sa panahon ng reconciliation.
Sinabi ng koponan na ang sequencing na ito ay sinadya, na inuuna ang tumpak na reconciliation ng pondo bago muling buksan ang mga pag-withdraw.
Ang Flash Trade at MagicBlock ay magkasamang nag-ambag sa isang pondo na sumasakop sa 100% ng mga apektadong deposito. Sinabi ng platform na walang user ang mawawalan ng pera.
Reaksyon ng Industriya sa Hack ng Solana Perpetuals Exchange
Si Backpack CEO Armani Ferrante ay nagpahayag ng kanyang saloobin sa publiko, na inilarawan ang insidente bilang isa pang halimbawa ng isang pagsasamantala sa margin system. Nagmungkahi siya ng isang structural fix na kinasasangkutan ng isang isolated, formally verified custody contract na may 24-oras na withdrawal timelock.
Another day another DeFi hack on a margin system.
Here's the simple solution to minimize the damage of hacks by 10x.
All margin systems are constructed the same way.
– You deposit your funds into the margin system.
– You no longer have custody of the assets.
– The margin… https://t.co/onDproTrz2— Armani Ferrante (@armaniferrante) July 22, 2026
Nagpahayag si Ferrante na ang ganitong disenyo ay magpapahintulot sa mga platform na ihinto ang mga pag-withdraw nang mabilis sa panahon ng pag-atake. Ito ay maglilimita sa pinsala sa mga pagkabigo ng oracle, kompromiso ng wallet, at manipulasyon ng margin.
Kinilala rin niya ang mabilis na tugon ng Flash Trade, na inilagay ang koponan sa iba na mahusay na humawak ng mga katulad na insidente.
Ang MagicBlock, sa bahagi nito, ay nagsabi na magpapatuloy itong makipagtulungan sa mga integrator, auditor, at independiyenteng mananaliksik upang palakasin ang seguridad sa antas ng SDK sa pasulong.
Mag-iwan ng Tugon