Swell раскрыла, как злоумышленник 21–22 октября завысил расчётный курс токенов swETH и rswETH к эфиру на 6,15% и 5,10%. Он не взломал смарт-контракты и не вывел ETH из обеспечения: вместо этого скомпрометированный операционный ключ отправил оракулам 11 ложных отчётов о балансах. Протокол остановил новые вклады, рестейкинг и выводы; к 31 октября обычный доступ ещё не восстановлен.

Атака началась с утечки личного SSH-ключа сотрудника. Через серверы Swell злоумышленник получил долгосрочные учётные данные Google Cloud и общий пароль системы развёртывания, а затем — операционный bot key. У него не было прав обновлять контракты или менять администраторов, но была роль BOT для передачи балансов оракулу. Каждый ложный отчёт укладывался в разрешённое изменение на 1% в час, а независимой сверки сообщаемого баланса с резервами у оракула не было.

Тот же ключ перенаправил на адрес атакующего получение наград 40 контрактов rswETH в EigenLayer, однако невостребованных наград там не оказалось. Swell оценила прямую потерю собственных средств примерно в 1,3 ETH на газ. Ещё 20 адресов получили во время инцидента меньше токенов из-за завышенного курса — совокупную недостачу около 0,25 ETH проект обещает компенсировать.

После удаления скомпрометированного ключа ни у одного адреса не осталось роли BOT. Вернуть её мультиподписи «четыре из семи» можно было только через семидневную задержку: она истекла 31 октября в 07:32 UTC. Курс должны снижать примерно в шесть и пять почасовых шагов; подтверждения завершения этой процедуры к 16:40 UTC не опубликовано. Вклады и выводы Swell рассчитывает открыть к 5 ноября. Для займов под rswETH коррекция важна отдельно: уменьшение расчётной стоимости залога приближает позиции к ликвидации.