14 октября злоумышленник вывел из общего контракта UNCX Vesting V2 в Ethereum пять ERC-20-токенов, принадлежавших другим позициям. ExVul оценила их стоимость примерно в $87,7 тысячи по спотовым ценам родительского блока. В последующем обновлении UNCX расширила границы инцидента до десяти токенов в Ethereum, Base, BNB Chain и Robinhood Chain. Контракты блокировки ликвидности, по заявлению проекта, не затронуты.

По предварительному разбору Blockaid, атакующий создал позицию в общем пуле, высвободил крупную часть, вернул токены в контракт и отменил пополненную позицию. После этой последовательности оставался небольшой баланс долей, с помощью которого можно было забрать токены из чужих блокировок. ExVul связывает сбой с несовпадением двух счётчиков: функция release() уменьшала общее число долей, но сохраняла выпущенные доли внутри самой позиции. Окончательного постмортема UNCX пока нет, поэтому это реконструкция исследователей, а не установленная командой первопричина.

Чтобы остановить повторение атаки, UNCX установила фиксированную комиссию свыше 1000 ETH за новую блокировку, убрала взаимодействия, позволявшие обходить комиссию, и подняла комиссию в токенах до максимальных 5%. Это экстренные экономические ограничения, а не подтверждение исправления кода. Проект советует не торговать затронутыми токенами до инструкций их команд и обещает на этой неделе опубликовать отчёт и план восстановления. В новом сообщении UNCX заявила, что связалась с двумя адресами и предложила вернуть активы за вознаграждение в 10% по правилам white-hat.

На срез 15 октября, 14:30 UTC публичного подтверждения возврата средств нет. Подтверждён вывод токенов из приложения UNCX, а не взлом Ethereum, Base, BNB Chain или Robinhood Chain; стоимость $87,7 тысячи — оценка по цене на блоке, а общий ущерб по десяти токенам ещё не установлен. Инцидент показывает предел общей «некастодиальной» блокировки: ключи сетей и пользователей могли остаться целы, но ошибка единого учёта долей сделала чужие позиции доступными для вывода.