Команда Hifi Finance сообщила, что держатели токена HIFI фактически больше не контролируют протокол, управляющие смарт-контракты и выпуск токена после пропущенной атаки на DAO. Веб-приложение Hifi отключено, а пользователям с залогом посоветовали немедленно вывести средства.

Управление Hifi устроено так: для предложения нужно делегировать не менее 50 000 HIFI, голосование длится пять дней и требует поддержки большинства при кворуме в 2% выпуска токена, после чего действует двухдневная задержка. Команда признала, что не заметила захват вовремя и уже не могла его остановить или отменить. В обновлении от 30 октября она предупредила: после истечения задержки атакующий сможет в дальнейшем загружать произвольный код в контракт Balance Sheet.

Hifi прекратила выдавать новые займы, навсегда убрала принадлежащую DAO ликвидность с децентрализованных бирж и перевела обслуживание долга под залог реальных активов на основную команду, в обход скомпрометированных контрактов. По оценке самой Hifi, итоговый ущерб ещё не установлен, но совокупные потери составят около $20 000; команда обещает возместить их пострадавшим.

Это атака не на отдельный кошелёк и не сбой блокчейна: злоумышленник получил сам механизм обновления протокола. Встроенная задержка дала время предупредить пользователей и сократить риск, но не вернула держателям HIFI управление. Полный разбор механизма захвата Hifi пока не опубликовала.