Взлом вестинга UNCX: $1,08 млн из BNB Chain лежат нетронутыми, а атакующий в Ethereum вернулся за своими ZC

UNCX (бывший UniCrypt) блокирует и распределяет по графику токены других проектов. Его контракт VestingManager в Ethereum, 0xa98f06312b7614523d0f5e725e15fd20fb1b99f5, хранит токены многих позиций в одном общем пуле. Система Blockaid 14 октября обнаружила атаку на него и оценила потери примерно в $86 тыс. ExVul нашёл причину в учёте: функция release() уменьшала общее число долей пула, но не запись самой позиции, поэтому позицию можно было учесть дважды и вывести токены, принадлежавшие другим пользователям. UNCX сообщил, что закрыл контракт для новых позиций.

Ниже то, что показывают кошельки. Данные прочитаны нами 14 октября 2026 года, через несколько часов после атаки.

Ошибка была в коде, а не в одном контракте, и тот же VestingManager UNCX работает в других сетях. 15 октября Blockaid поднял оценку до $1,49 млн: $969 тыс. в BNB Chain, $242 тыс. в Ethereum, $169 тыс. в Robinhood Chain и $114 тыс. в Base, в 11 транзакциях первого атакующего, подражателей и MEV-ботов. Мы прочитали стороны BNB Chain и Ethereum.

В BNB Chain контракт вестинга — 0x7f3f9f4ED8987B78adC448a840169A0FD5AFFAAB. Все его потери прошли через один контракт, 0x8174eeE3aF07C9a695CA363a38DC3190F6Dd0DEc, который вызывал 0x61671729bb3FCB7e3cb74cE4b436F467Fac5C25d серией транзакций с 18:55 до 19:14 UTC 14 октября, через три часа после атаки в Ethereum. Они забрали заблокированные там токены BTCLE (Bitcoin Limited Edition). Этот кошелёк пополнили 18 сентября 9,98 BNB из пула Tornado Cash на 10 BNB — другой путь, чем газ атакующего в Ethereum, и связи между ними в блокчейне мы не нашли.

В течение часа BTCLE продали за USDT, часть поменяли на BTCB. С 19:52 до 19:55 UTC атакующий отправил 779 105 USDT, 2,32 BTCB и 40 BNB на новый адрес 0x0d4548675a2c4eCe01c2F0238DC273b43c49bcA0. Второй кошелёк, которым он пользуется с августа, 0xb27FB086D12b1E4fa7BeA86C9E46df226E33085A, получил от него 1 BNB на газ и добавил 87,5 BNB, 10 397 USDT и 0,08 BTCB. Этот адрес ни разу не отправлял транзакций. 16 октября на нём 789 502 USDT, 2,41 BTCB и 127,5 BNB, около $1,08 млн.

В 10:30 UTC 15 октября UNCX написал этому адресу прямо в блокчейне, в данных транзакции на ноль BNB с 0x9f8118FA93735c7EAfbecc455e2D5F5E6D8749F4: предложил считать случай whitehat-инцидентом с вознаграждением 10%, если 510 727 USDT вернут на мультисиг 0x32f0eB068fD804195629A2CBEE30A7e9CE58c4cb в BNB Chain в течение 48 часов, то есть до 10:30 UTC 17 октября. Когда мы проверяли 16 октября, ничего не вернулось. Ещё один посторонний тем же способом попросил у этого адреса немного BNB.

В Ethereum первый атакующий вернулся за 9 055 847 ZC, оставленными на контракте эксплойта. Он вывел их в 07:28 UTC 15 октября и продал через LI.FI за 6,52 ETH — всего он получил 21,45 ETH, на кошельке 20,24 ETH. После него до пула в Ethereum добрались другие: два MEV-бота забрали токены X и ZC примерно через 35 и 50 минут после атаки, а 0x053D984Eab3240Cdf7C53b8B7846159f8146E99b — кошелёк, который натравливает контракты на уязвимые пулы, — забрал ZC и продал за 2 805 USDC, потом за 1,30 ETH. Ветки Robinhood Chain и Base мы не читали.

Кошелёк атакующего, 0x78C9B11853E4f183a34C63fFd1924d2319a2f5B3, получил первый эфир в 14:47 UTC и через три минуты развернул атакующий контракт 0x6cEbDf095172B355121b93962017975C4601F26c. В 15:49 одна транзакция в этот контракт сделала всю работу: создала контракт эксплойта 0xf6D072254Eb8A9B06e0bA21221b498332C1BC35E, заняла каждый из пяти токенов в пулах Uniswap флэш-свопами, открыла и пополнила позиции в контракте вестинга, освободила и отменила их в том порядке, который включал двойной учёт, и вышла с бо́льшим количеством каждого токена, чем внесла. Ещё четыре попытки с 15:58 до 16:25 не удались.

С 16:38 до 16:41 атакующий вывел добычу с контракта эксплойта на свой кошелёк: 55,6 млн EDGEN, 40 155 PEPECOIN, 65 372 LO0P, 113 658 PAAL и 0,29 ETH.

Токены сразу ушли на рынок, с 16:44 до 17:01 UTC: PEPECOIN через агрегатор LI.FI за 2,19 ETH, EDGEN через Uniswap за 8,57 ETH, LO0P через ордер UniswapX за 3,46 ETH и PAAL через Uniswap за 0,41 ETH. Вместе с 0,29 ETH с контракта атака дала 14,93 ETH, около $36 тыс.

$84–86 тыс. в сообщениях — это стоимость токенов по рыночной цене до продажи. Это небольшие токены с тонкими пулами; продажа всего объёма сразу обвалила цену. Держатели потеряли бо́льшую сумму, атакующий получил меньшую.

9 055 847 ZC так и не покинули контракт эксплойта. Остальные четыре токена атакующий вывел, а этот нет; он до сих пор там, около $15 тыс. по последней цене.

Кошелёк атакующего пополнили тремя переводами, 0,1, 0,9 и 2,5 ETH, с 0x6D2Afff4Fc6FF46564467762c4aA35812680D606. Единственное пополнение этого кошелька — 9,96 ETH, выведенные из Tornado Cash 15 ноября 2025 года. В 17:09 UTC, через час двадцать после атаки, атакующий вернул ему ровно 3,5 ETH. На кошельке-источнике до сих пор 7,46 ETH, на кошельке атакующего 13,72 ETH. В миксеры и на биржи пока ничего не ушло.

Кошелёк, который даёт газ из Tornado и получает его обратно до последнего вэя после работы, принадлежит самому атакующему или его партнёру. Мы отметили его вместе с атакой.

Через несколько минут после продаж посторонние начали присылать кошельку атакующего пыль и нулевые переводы с адресов, которые начинаются на 0x78c9 и 0x6D2A, как сам кошелёк и его источник, и прислали миллион единиц неизвестного токена. Боты отравления адресов следят за кошельками взломщиков так же, как за любыми другими.

Мы отметили в базе 4 адреса в Ethereum как часть атаки: кошелёк атакующего, кошелёк-источник, атакующий контракт и контракт эксплойта. Раньше ни один из них отмечен не был. Мы не отмечали контракт вестинга и проекты, чьи токены были выведены: это пострадавшие. Мы следим за 13,72 ETH и дополним страницу, если они двинутся.

16 октября мы добавили ещё 5: атакующего в BNB Chain, его контракт эксплойта, адрес с $1,08 млн и второй кошелёк атакующего, а также подражателя в Ethereum. Мы не отмечали MEV-ботов, мультисиг UNCX и кошелёк, с которого пришло сообщение UNCX. Адрес в BNB Chain — в нашем списке наблюдения: если с него что-то уйдёт, эта страница об этом скажет.

Чтобы проверить адрес самостоятельно, воспользуйтесь проверкой адреса.

Она не говорит, кто атакующий, и не утверждает, что UNCX, пять проектов, Uniswap, LI.FI или Tornado Cash сделали что-либо незаконное. Оценка потерь принадлежит Blockaid, причина — ExVul. Реально полученные 14,93 ETH, застрявшие ZC, кошелёк, пополненный из Tornado, и возврат ему — наши данные, прочитанные 14 октября 2026 года. Итог по четырём сетям — Blockaid; адреса в BNB Chain, адрес с деньгами, сообщение о вознаграждении и продажа ZC 15 октября — наши данные, прочитанные 16 октября 2026 года.