Из кредитного пула 0xE25C…621a проекта Valinor × OatFi × Fence в сети Avalanche 27 октября вывели средства. Компания Blockaid сообщила 28 октября, что атакующий использовал мгновенный заём, выпустил завышенное количество долей транша и обменял их на оставшиеся в хранилище USDC. Предварительная оценка — около 1,01 млн USDC примерно в двух транзакциях.

Доля транша даёт право на часть активов хранилища. Мгновенный заём позволяет получить крупную сумму и вернуть её внутри одной блокчейн-транзакции. Если расчёт долей опирается на состояние, которое можно временно исказить, атакующий получает больше прав требования, чем внёс средств, а затем обменивает их на реальные токены. Blockaid описала эту последовательность, но ещё не опубликовала полный разбор проверки контракта, поэтому окончательная первопричина не установлена.

Обозреватель Avalanche пометил именно этот пул как опустошённый и предупредил не вносить в него средства. Страница относит его к пилоту Valinor × OatFi × Fence, где деньги кредиторов в USDC направлялись заёмщику. Признаков взлома самой сети Avalanche, стейблкоина USDC или межсетевого моста нет: затронуто прикладное хранилище.

По состоянию на 28 октября, 05:30 UTC администратор кредитной линии расследовал инцидент. Полный постмортем, окончательный размер ущерба, адрес получателя средств и план возврата или компенсации публично не раскрыты.