Взлом Tranche Vault на $1,01 млн: как проверить USDC в Avalanche и защитить средства в DeFi

Обновлено 28 октября 2026 года. На Avalanche сообщают о взломе Tranche Vault на сумму около $1,01 млн. По предварительным данным, злоумышленник использовал flash loan и уязвимость учёта долей, чтобы получить реальные USDC. Ниже - руководство для держателей долей DeFi-хранилищ: как выяснить, затронута ли ваша позиция, проверить транзакции и не попасть на мошеннический «портал компенсации».

Статус расследования: данные об инциденте представлены SlowMist и другими публикациями; полноценный технический post-mortem и проверенный список адресов пока не опубликованы. Мы не утверждаем, что существует универсальная процедура немедленного возврата средств.

Что произошло 28 октября 2026 года

28 октября аналитики сообщили об атаке на Tranche Vault - DeFi-хранилище в сети Avalanche, связанное в сообщениях об инциденте с Fence Finance и Valinor Digital. По данным базы инцидентов SlowMist, злоумышленник использовал краткосрочный flash loan, получил завышенное количество долей транша и погасил эти доли за реальные USDC из хранилища. Предварительная оценка потерь составляет около 1,01 млн долларов. Оценка не равна доказанному убытку каждого вкладчика: распределение ущерба между отдельными позициями пока не опубликовано.

Публикация TechFlow со ссылкой на исследователя Blockaid сообщает о выводе примерно 1,01 млн долларов за две операции. Указанные сведения описывают предполагаемый механизм атаки, но открытого технического отчёта с окончательным адресом контракта, транзакциями и воспроизводимым анализом на момент подготовки материала у нас нет. Поэтому мы не предлагаем читателям доверять конкретному адресу, появившемуся в комментариях или сообщениях незнакомцев.

Существенно различать три события: факт сообщений о взломе, наблюдаемое в блокчейне движение активов и подтверждённую протоколом программу компенсации. Первые два могут быть отражены в аналитике; последнее требует отдельного официального решения. Если ваш баланс в интерфейсе продолжает отображаться, это само по себе не доказывает сохранность обеспечения.

Кому следует проверить свои средства

В первую очередь проверьте позиции, если вы непосредственно вносили USDC или другие активы в продукт, обозначенный как Tranche Vault, либо использовали стратегию, которая перенаправляла депозит в соответствующее хранилище на Avalanche C-Chain. Риск не распространяется автоматически на всех держателей USDC в сети Avalanche: обычные USDC на самостоятельном адресе не становятся частью уязвимого vault только из-за совпадения сети.

Особое внимание требуется пользователям агрегаторов доходности. Даже если вы не взаимодействовали с Fence Finance напрямую, интерфейс посредника мог отправить средства в стороннюю стратегию. Найдите фактический контракт депозита по исходной транзакции. Наличие AVAX в кошельке, подключение к Avalanche или покупка USDC на бирже сами по себе не доказывают экспозицию к этому случаю.

Если вы только получали доходность в другом протоколе и не можете сопоставить адрес контракта с официальным уведомлением, не считайте себя пострадавшим. Но проверьте состав стратегии по документации её управляющего и зафиксируйте текущую позицию.

Как работает DeFi-хранилище и почему доли могут обманывать

Во многих доходных хранилищах вкладчик переводит базовый актив, например USDC, в смарт-контракт и получает учётную долю - share. Она обозначает право на некоторую часть стоимости хранилища, а не отдельный мешок монет под вашим именем. Стоимость погашения зависит от общего объёма активов и количества выпущенных долей. Если учёт этих величин нарушается, баланс долей перестаёт надёжно отражать сумму, которую реально можно вывести.

Упрощённый пример: в резерве находятся 1 000 000 USDC и существует миллион долей. При корректном учёте одна доля приблизительно соответствует одному USDC без учёта комиссий и стратегии. Если из-за ошибки контракт позволяет атакующему предъявить лишние доли без равнозначного депозита, он может претендовать на часть обеспечения, которую не внёс. В зависимости от реализации это обесценивает доли остальных пользователей или непосредственно выводит активы из общего резерва.

Некоторые протоколы используют транши: старший может иметь меньший риск и приоритет выплаты, младший берёт больший риск и претендует на потенциально большую доходность. Реальное распределение зависит от конкретной документации и кода. Названия senior и junior не гарантируют защиты от программной ошибки: если нарушен базовый учёт активов, могут пострадать разные уровни структуры.

Что такое flash loan и зачем он нужен атакующему

Flash loan - заём, который должен быть возвращён в пределах одной блокчейн-транзакции, иначе вся операция отменяется. Этот инструмент не является вредоносным сам по себе: арбитражёры и разработчики используют его для управления ликвидностью. Опасность возникает, когда другой контракт неверно доверяет состоянию резервов, курсу доли или внутренним расчётам, которые можно резко изменить за одну транзакцию.

Крупный временный капитал позволяет атакующему выполнить последовательность действий: временно получить активы, изменить наблюдаемое состояние, вызвать уязвимую функцию выпуска или погашения долей, извлечь разницу и погасить заём. Конкретные вызовы и размеры операций в Tranche Vault нельзя уверенно реконструировать без полной трассировки. Важно не путать наличие flash loan с доказательством, что именно он является корневой ошибкой: первопричина обычно в проверках и формулах контракта.

Пользователю не требуется самостоятельно проводить flash loan или пытаться повторить подозрительную транзакцию. Для защиты важнее определить собственную долю, реальные резервы и официальное состояние функции вывода.

Шаг 1. Найдите свой адрес и сеть Avalanche C-Chain

Откройте кошелёк только через ранее проверенное приложение. Выберите Avalanche C-Chain и скопируйте публичный адрес, начинающийся с 0x. Никому не передавайте seed-фразу, приватный ключ, файл восстановления и коды двухфакторной авторизации. Адрес - публичный идентификатор, но его публикация может раскрыть вашу финансовую историю, поэтому делитесь им только по необходимости.

Перейдите в надёжный обозреватель Avalanche, адрес которого вы проверили самостоятельно, например официальный Avalanche Explorer либо известный EVM-обозреватель, поддерживающий сеть. Введите публичный адрес и найдите операции за период до и после 28 октября. Проверяйте именно C-Chain: цепочки Avalanche с похожими именами и мостовые представления токенов могут быть совершенно другими активами.

Выпишите дату, хеш и адрес контракта каждой операции, обозначенной как Deposit, Supply, Mint, Redeem или Withdraw. Названия функций зависят от реализации: иногда интерфейс показывает только Transfer, а фактическая логика находится во вкладке Input Data или decoded events. Не запускайте неизвестные инструменты дешифровки и не подписывайте сообщения ради просмотра транзакций.

Шаг 2. Определите контракт, в который внесли USDC

Найдите исходящую передачу USDC и проследите не только поле To внешней транзакции, но и события токена, вызовы роутера и конечный контракт, которому были зачислены средства. Агрегатор может вызывать маршрутизатор, который затем помещает актив в стратегию. Если посмотреть лишь первый адрес из интерфейса, легко ошибочно связать операцию с непричастным протоколом.

Сопоставляйте адрес контракта с адресами, опубликованными на официальных ресурсах соответствующего проекта. Если официальные каналы ещё не подтвердили адрес пострадавшего хранилища, результат считается предварительным. Скриншот чужого поста, адрес в чате или комментарий от «поддержки» не являются достаточным основанием.

Полезно составить журнал: дата депозита, отправленный токен, сумма, хеш транзакции, адрес получившего контракта, полученные share-токены и сеть. Такой журнал пригодится как для собственного учёта, так и для возможной процедуры подтверждения требований.

Шаг 3. Проверьте количество долей и доступную ликвидность

Сравните три показателя: доли, записанные за вашим адресом; заявленную стоимость этих долей; фактические активы и ликвидность хранилища. Интерфейс может показывать последнюю известную оценку, даже если стратегия остановлена или резерв уменьшился. Отдельно смотрите наличие очереди вывода, лимитов, паузы, периодов расчётов и возможных долгов стратегии.

Не делайте вывод об убытке по одному числу TVL на агрегаторе. TVL может обновляться с задержкой, включать неликвидные позиции или дублировать обеспечение. Напротив, нулевой баланс токена на одном адресе ещё не означает исчезновение средств: они могли быть перемещены в стратегию, модуль или пул. Для точного расчёта нужны структура контракта и его фактическая бухгалтерия.

Если после атаки требуется вывод, сначала изучите официальное уведомление проекта. Подозрительную кнопку Claim или Rescue, появившуюся в поисковой рекламе, не следует использовать даже при правдоподобном дизайне.

Шаг 4. Как понять, можно ли выводить средства

Технически доступный метод Withdraw не означает, что вывод безопасен или экономически разумен. Контракт может быть поставлен на паузу, принимать транзакцию с ошибкой, выдавать меньше ожидаемого либо обрабатывать очередь. При вероятной компрометации общей бухгалтерии попытка вывести средства без подтверждённой инструкции может увеличивать расходы на комиссии и затруднять учёт претензий.

Если команда опубликовала проверенный порядок выхода, сверяйте домен, адрес контракта, состояние сети, условия минимального получения и лимиты. Протестируйте оценку транзакции без подписи. Не давайте бесконечные разрешения новому неизвестному адресу. Любое реальное подтверждение должно показывать понятную операцию и ожидаемый результат; если кошелёк предлагает необычную слепую подпись, прекращайте действие.

Если официальной процедуры нет, разумно зафиксировать данные и дождаться подтверждённых инструкций, не экспериментируя с контрактом. Это не обещание, что ожидание всегда оптимально: решение зависит от открытости вывода, технических рисков и параметров конкретной позиции.

Шаг 5. Проверьте token approvals - и их пределы

В EVM-сетях разрешение approve позволяет определённому контракту тратить токены вашего адреса в заданном объёме. Просмотрите выданные разрешения через проверенный обозреватель или известный сервис управления approvals. Особое внимание обратите на незнакомые spender-адреса и разрешения на неограниченную сумму.

Отзыв разрешения может ограничить будущий доступ spender к токенам, которые пока хранятся на вашем адресе. Но он не возвращает USDC, уже внесённые в депозитный контракт, и не чинит бухгалтерию vault. Более того, отозванное разрешение иногда потребуется выдать заново для легитимного вывода, если так устроена стратегия. Не путайте approve с прямым доступом к приватному ключу.

Проводите отзыв только после проверки адреса сервиса и сети. Для операций требуется небольшое количество AVAX на комиссию. Не переводите активы на адрес, выдаваемый злоумышленником за «защитный», и никогда не вводите seed-фразу на сайте для проверки разрешений. Практическое объяснение дано в руководстве как отозвать разрешения смарт-контрактов.

Какие доказательства подготовить для возможной компенсации

Заранее сохраните идентификаторы депозита и вывода, хеши транзакций, время по UTC, исходные суммы и символы активов, адреса контрактов, balance и число долей на дату проверки. Отдельно запишите комиссии, которые вы потратили на дополнительные попытки вывода. Скриншоты полезны как дополнение, однако хеши и записи блокчейна обычно надёжнее для проверки происхождения движения средств.

Если проект объявит snapshot, сохраните правила его определения: на какой блок и для каких адресов рассчитана позиция. При внесении через агрегатор могут потребоваться сведения о промежуточном контракте и доказательства, что именно ваша позиция включена в общий баланс. Не подавайте одинаковую заявку с нескольких кошельков, если правила прямо запрещают дубли, и не подписывайте формы, происхождение которых не установлено.

Появление инициативы переговоров с атакующим не является гарантией выплаты вкладчикам. Сообщения о предложении вернуть 90% средств за 10% вознаграждения в пользу злоумышленника отражают переговорную позицию, а не подтверждённый результат возврата. На момент публикации нельзя считать такие суммы уже поступившими в хранилище.

Как отличить мошеннический портал возврата USDC

После громких взломов появляются поддельные сайты с названиями Recovery, Reclaim, Claim Compensation и Emergency Withdrawal. Они часто требуют подключить кошелёк и подписать транзакцию, которая на деле предоставляет право списывать токены. Иногда мошенник утверждает, что для проверки статуса нужен «залог» или предварительная комиссия в USDC. Официальная поддержка не нуждается в вашей seed-фразе.

Не переходите к восстановлению из ответов под постами и личных сообщений в Telegram, X или Discord. Проверьте, что анонс есть в первоначальном проверенном канале протокола, а адрес сайта совпадает посимвольно. По возможности сопоставьте адрес контракта с официальным репозиторием, документацией и записью самого проекта. Даже верифицированный аккаунт может быть скомпрометирован, поэтому используйте несколько независимых признаков.

Если уже подписали сомнительную транзакцию, проверьте её статус и approvals, затем оцените необходимость перевода остающихся на вашем адресе активов в новый кошелёк. При подозрении на раскрытие seed-фразы считайте старый кошелёк небезопасным - простой revoke не устраняет такую компрометацию.

Сколько могли потерять пользователи: пример расчёта

Представим, что вы внесли 5 000 USDC и получили 5 000 долей. До инцидента интерфейс показывал условную стоимость доли 1,02 USDC, то есть 5 100 USDC. После инцидента контракт может по-прежнему отображать 5 000 долей, хотя доступного обеспечения меньше. Реальную сумму требования невозможно вычислить без обновлённой бухгалтерии, правил очередности траншей и информации о возврате активов.

Другой пример: старший транш формально имеет приоритет на 80% потерь, но у протокола существует очередь выплат, которая исполняется позже. Это не универсальное правило: каждый продукт имеет собственные условия и риск-модель. Именно поэтому опасно автоматически умножать число долей на цену, показанную до атаки.

Для личного учёта отделите внесённый капитал, уже выведенные суммы, накопленные вознаграждения, текущую оценку доли и фактически доступную к выводу ликвидность. Потенциальный убыток - не то же самое, что окончательно подтверждённый ущерб.

Как оценивать DeFi-vault до следующего депозита

Изучайте, кто управляет стратегией, насколько прозрачен код и есть ли формальные ограничения на выпуск долей. Аудит полезен, но не гарантирует отсутствие ошибки; учитывайте дату, версию контрактов и проверял ли аудит именно ту логику, которая сейчас используется. Наличие timelock, multisig и экстренной остановки снижает некоторые риски, но не исправляет ошибочную формулу погашения.

Полезно смотреть независимость ценовых источников, лимиты мгновенных депозитов, поведение при низкой ликвидности, обработку округлений и порядок начисления доходности. Чем сложнее связка vault → стратегия → пул → мост, тем больше мест, где отображаемый баланс расходится с реальной доступностью актива. Не концентрируйте резервные средства в одном экспериментальном продукте лишь из-за высокой объявленной доходности.

Отделяйте риск USDC как токена от риска протокола, в который токен внесён. Даже если стабильная монета сохраняет привязку к доллару, конкретное хранилище может потерять обеспечение из-за программной ошибки или компрометации оператора. Прямое владение токеном и владение долей доходной стратегии - разные юридические и технические ситуации.

Что известно о реакции Fence Finance и Valinor Digital

Публичные сообщения связывают инцидент с хранилищем на Avalanche, относимым к Fence Finance и Valinor Digital. Отдельная публикация 28 октября сообщает, что Fence Finance направила предполагаемому получателю похищенных активов предложение о возврате 90% средств с оставлением 10% в качестве вознаграждения. Эта информация не подтверждает достижение соглашения или факт возврата.

Без официальной подробной сводки нельзя однозначно утверждать, что остановлены все затронутые контракты, открыт безопасный вывод или утверждена компенсация. Читателям следует отдельно проверять каждое обновление в первичных каналах проекта и смотреть временную метку сообщения. Не доверяйте публикации, если она подменяет условия возмещения или обещает немедленную выплату при подписи неизвестной транзакции.

Для редакционного мониторинга важны четыре события: опубликован ли проверенный список контрактов, подтверждена ли причина ошибки, найдено ли решение о распределении оставшихся активов и появились ли исполняемые инструкции для вкладчиков. При появлении новых фактов эта статья должна обновляться с указанием даты правки.

Часто задаваемые вопросы

Я просто держу USDC в Avalanche. Пострадал ли мой кошелёк? Нет оснований считать, что сама сеть или все USDC затронуты. Проверяйте только конкретные позиции, связанные с атакованным хранилищем.

Если я не вижу списания, активы точно в безопасности? Не обязательно. Ваши доли могут оставаться на адресе, тогда как обеспечение протокола уменьшилось.

Можно ли вернуть USDC через revoke? Нет. Revoke ограничивает будущие разрешения spender, но не возвращает ранее внесённый депозит.

Стоит ли отправить немного AVAX для «разблокировки компенсации»? Только если это действительно ваша самостоятельно проверенная транзакция с понятной комиссией. Не перечисляйте средства на адрес третьего лица ради обещанной выплаты.

Можно ли проверить депозит только по скриншоту? Скриншот недостаточен: используйте хеши транзакций, адреса контрактов и события токенов.

Подтверждён ли возврат 90%? Нет. Сообщение о переговорах и предложение злоумышленнику не доказывают возврата средств.

USDC и USDC.e - одно и то же? Это разные представления токенов; перед проверкой внимательно сверяйте точный токен и его контракт в сети.

Поможет ли новый кошелёк восстановить депозит? Сам по себе нет. Если депозит находится в vault, право требования определяется учётом соответствующего контракта.

Что делать, если интерфейс хранилища не работает? Сохраните хеши и баланс на обозревателе, следите за первичными объявлениями и не переходите на неофициальные зеркала.

Как понять, что выплата действительно состоялась? Сопоставьте официальное сообщение с наблюдаемой транзакцией, получателем, токеном и реально зачисленным балансом.

Вывод: сначала проверьте экспозицию, потом действуйте

Атака на Tranche Vault показывает, почему DeFi-депозит нельзя оценивать исключительно по числу долей или красивому балансу в интерфейсе. Для пострадавшего вкладчика первоочередная задача - установить фактический маршрут депозита, проверить адрес контракта по независимым источникам, сохранить доказательства и не подписывать подозрительные операции.

Сведения о причине и потере около 1,01 млн долларов пока предварительные. Подтверждённый план компенсации и универсальная инструкция по выводу отсутствуют. По мере появления официального разбора и точных on-chain ссылок материал нужно актуализировать - особенно разделы о безопасном выходе и правах вкладчиков.

Источники и обновления

Источники на дату подготовки: SlowMist Hacked, The Crypto Guardian, TechFlow со ссылкой на Blockaid. Описания механизма основаны на предварительных сообщениях. Это образовательный материал, а не персональная финансовая или юридическая рекомендация.

Автор

Barbados