Cum au folosit atacatorii XPL regulile Hyperliquid pentru a preda tuturor DEX-urilor o lecție în valoare de zeci de milioane de dolari?

Scris de: Morcov

Acesta nu este un hacker, aceasta este o conspirație

urmă cu două zile, o "lunetistă de precizie" la nivel de manual a fost pusă în scenă în Hyperliquid, iar protagonistul a fost un token numit $XPL. În cele din urmă, atacatorii au profitat de o lichidare scurtă masivă la un cost de mai puțin de 200.000 de dolari, obținând un profit de peste 10 milioane de dolari.

Cel mai important lucru este: acesta nu este un hack și atacatorul nu a exploatat nicio vulnerabilitate a codului.

În schimb, el atinge ceea ce DEX este cel mai mândru – transparență completă. A fost o vânătoare la soare care a respectat pe deplin regulile protocolului. Acest incident servește ca o oglindă pentru a reflecta slăbiciunile structurale de sub exteriorul plin de farmec al tuturor schimburilor actuale on-chain (DEX).

Partea I: Trilogia de atac: Cum se întâmplă vânătoarea?

Pentru a înțelege acest atac, trebuie să cunoașteți un mecanism de bază al schimburilor de contracte perpetue: fluxurile de prețuri. Pe scurt, platforma futures are nevoie de un "preț real" pentru a judeca cine a câștigat, cine a pierdut și cine ar trebui lichidat. Acest "preț real" provine de obicei dintr-o sursă externă, cum ar fi o piață spot on-chain.

Scenariul atacatorului este o trilogie care se învârte în jurul acestui mecanism de "hrănire a prețurilor":

Pasul 1: Găsiți prada perfectă
Atacatorul a găsit $XPL. Lucrul perfect despre acest token este că contractul său perpetuu are volum de tranzacționare pe Hyperliquid, dar spotul său este aproape în întregime concentrat pe o bursă mică numită Zebra pe lanțul Arbitrum, iar lichiditatea sa este extrem de superficială. Aceasta înseamnă că este nevoie de foarte puțini bani pentru a trage prețul spot la cer.

Pasul 2: Sursa prețului poluării
Conform datelor on-chain, atacatorul a folosit aproximativ 184.000 de dolari în WETH pentru a cumpăra frenetic XPL spot pe Zebra. Rezultatele au fost imediate, prețul spot crescând de aproape 8 ori într-o perioadă scurtă de timp. Mecanismul de alimentare a prețurilor Hyperliquid se referă la acest preț spot, astfel încât "prețul real" din contract este contaminat cu succes și împins artificial la o înălțime ridicolă.

Pasul 3: Recoltați armata scurtă
Când prețul contractului crește anormal, toate pozițiile scurte sunt forțate să se confrunte cu lichidarea. Pe o platformă precum Hyperliquid, unde registrul de ordine este complet transparent, este aproape un secret semi-public cine va fi lichidat la ce preț. Atacatorul s-a uitat la această "hartă de lichidare" și a împins cu precizie prețul dincolo de punctul critic. Un număr mare de poziții scurte au fost forțate să-și închidă pozițiile, iar atacatorii, care fuseseră deja prinși într-o ambuscadă, au luat cu ușurință aceste jetoane sângeroase și au obținut în cele din urmă un profit de aproximativ 15 milioane de dolari.

Partea 2: Este "transparența completă" a DEX-urilor un avantaj sau un blestem?

Acest incident a stârnit o întrebare care torturează sufletul: transparența cu care se mândresc DEX-urile este un lucru bun sau un blestem?

Este o sabie ascuțită cu două tăișuri.

Pentru utilizatorul obișnuit, transparența înseamnă corectitudine, verificabilitate și nicio operațiune de cutie neagră. Dar în ochii atacatorului, registrul de ordine transparent este o hartă de atac, iar contractul inteligent automat este călăul execuției automate.

Protocolul este neutru, nu poate face distincția între bine și rău. Atâta timp cât joci după reguli, este executat cu fidelitate. Această "neutralitate absolută" devine un bancomat pentru balene în fața piețelor cu lichiditate scăzută. Acesta este motivul pentru care, în fața unui astfel de atac deschis, acordul în sine este neputincios.

Partea 3: Deci, este sigur să te ascunzi înapoi pe CEX?

Din moment ce DEX-urile sunt atât de periculoase, ce zici de revenirea la îmbrățișarea CEX-urilor?

CEX-urile au "firewall-urile" lor. KYC strict, echipele interne de control al riscului și mecanismele de limitare a prețurilor pot crește în mod eficient dificultatea unor astfel de atacuri. Încercarea de a manipula prețul contractului unei monede de 200.000 USD pe Binance este aproape o fantezie.

Dar este sigur? Nu. CEX-urile pur și simplu transformă riscul dintr-un "rău transparent" într-un "rău invizibil".

Pe DEX-uri, regulile sunt publice și riscul este calculabil. În CEX, te confrunți cu o cutie neagră. Cel mai mare risc al tău nu mai este un lunetist extern, ci schimbul în sine. Povestea FTX și Alameda Research este cea mai bună dovadă a acestui lucru – atunci când are loc un furt de pază, nu vei ști nimic până când totul nu este zero.

Deci, cheia întrebării nu este niciodată ce este mai bun, DEX sau CEX, ci cum să înveți de la ambele și să creezi o specie mai evoluată.

Partea 4: Găsirea răspunsurilor din partea de jos a arhitecturii - Folosind QuBitDEX ca exemplu

$XPL evenimentele ne învață că nu este suficient să mutăm tranzacțiile în lanț. Viitorul industriei trebuie să rezolve aceste probleme fundamentale de la nivel arhitectural.

În primul rând, mecanismul de alimentare a prețurilor trebuie să evolueze. O singură piață spot nelichidă nu trebuie să fie singura bază pentru determinarea vieții sau a morții a zeci de milioane de dolari în poziții. De exemplu, QuBitDEX a explorat și stabilit unul dintre principiile de bază încă de la începutul proiectării sale, care crește fundamental costul prețurilor poluării exponențial prin agregarea fluxurilor de date profunde de la mai multe CEX de top și combinarea acestuia cu un mecanism de medie ponderată în timp (TWAP).

În al doilea rând, transparența absolută trebuie regândită. Există posibilitatea ca atât verificabilitatea decontării, cât și confidențialitatea politicilor comercianților să poată fi garantate? Aceasta este, de asemenea, direcția în care QuBitDEX explorează prin compatibilitatea ZK a Layer-1 nativă. Modelele de tranzacționare hibride, cum ar fi dark pool-urile on-chain, pot preveni eficient lunetismul rău intenționat fără a sacrifica fundația încrederii descentralizate.

În cele din urmă, protocolul în sine trebuie să devină mai "inteligent". Necesită capabilități native de gestionare a riscurilor, nu doar un executor pasiv. Explorând arhitectura descrisă în cartea albă QuBitDEX, stratul său nativ AI este conceput ca un motor de risc în timp real capabil să analizeze dinamic piața, să identifice modele de tranzacționare anormale și să informeze controlul riscurilor la nivel de protocol. Această practică de a construi managementul riscului în ADN-ul protocolului reprezintă o direcție evolutivă semnificativă pentru arhitectura DEX.

Concluzie finalăIncidentul

XPL a învățat pe toată lumea o lecție în valoare de zeci de milioane de dolari: următoarea generație de DEX nu mai poate fi simple replici în lanț. Viitorul industriei aparține protocoalelor care pot înțelege și aborda în profunzime aceste vulnerabilități structurale.

Adevărata inovație vine de la platformele care pot sintetiza în profunzime conceptele mature de control al riscului CEX cu nucleul spiritual verificabil și descentralizat al DEX-urilor.