Что произошло
31 августа 2026 года команда безопасности Blockaid сообщила, что из кредитного резерва протокола More Markets вывели около $9,3 млн — примерно 15,5 млн токенов Wrapped Flow (WFLOW). Резерв mFlowWFLOW работал в сети Flow EVM. Атакующий занял больше, чем позволял его залог, воспользовавшись связкой из токена ликвидного стейкинга ankrFLOW и режима E-mode.
Детали
| Показатель | Значение на 31 августа 2026 |
|---|---|
| Выведено | около $9,3 млн |
| В токенах | примерно 15,5 млн WFLOW |
| Откуда | резерв mFlowWFLOW, сеть Flow EVM |
| Инструменты атаки | ankrFLOW (токен ликвидного стейкинга) + режим E-mode |
| Кто сообщил | Blockaid |
Что такое E-mode. Это функция кредитных протоколов из семейства Aave V3: «эффективный режим» повышает предельный размер займа для активов, чьи цены, как предполагается, движутся вместе. Классическая пара — токен ликвидного стейкинга и лежащий под ним базовый актив: считается, что ankrFLOW стоит примерно столько же, сколько FLOW, поэтому под такой залог можно занять больше обычного.
Предположение и оказалось дырой. Как только реальное соотношение расходится с тем, что заложено в настройках режима, повышенный лимит превращается в право занять сверх обеспечения — что атакующий и сделал.
На момент публикации сама More Markets инцидент публично не подтвердила и не сообщила, потеряли ли деньги пользователи; ответа на запросы Cointelegraph не дали ни протокол, ни Blockaid.
Что это значит
Касается это в первую очередь тех, кто держал WFLOW в кредитных резервах More Markets: из одного резерва ушло около $9,3 млн, и пока протокол молчит, размер убытка вкладчиков неизвестен. Шире — это касается всех, кто пользуется «эффективным режимом» в форках Aave V3, а таких протоколов в каждой сети по несколько.
Практический вывод конкретный: E-mode — это не бесплатная прибавка к плечу, а плата за допущение. Вы соглашаетесь с тем, что протокол считает два актива взаимозаменяемыми по цене; если этот аргумент ломается — сначала в оракуле, потом в настройках, — повышенный лимит работает против вкладчиков резерва, а не против заёмщика. Как ломается сама цена актива, мы разбирали отдельно — подделка цены в DeFi и почему усреднение не спасает.
Горизонт — ближайшие сутки-двое: ключевая точка здесь не размер суммы, а заявление More Markets. Пока протокол не объяснил, какие параметры позволили перезаём, заходить в оставшиеся резервы смысла нет.
Контекст
Это второй за неделю случай, когда протокол теряет деньги не через дыру в коде, а через собственные настройки. 23 августа Term Finance отдал около $8,5 млн после того, как атакующий скупил большинство голосов DAO и легально приказал хранилищам выдать средства. Там ошибкой было соотношение цены управления и суммы под управлением, здесь — допущение о связке цен. Аудит кода в обоих случаях бесполезен: контракты отработали ровно так, как написаны.
