W skrócie
- Yuga Labs zakończyło 8 czerwca operację ratunkową w Whitehat po tym, jak luka w zabezpieczeniach dotknęła Flooring Protocol
- Udało się uratować 68 tokenów NFT, w tym Bored Apes, CryptoPunks, Azuki, Doodles i Moonbirds o wartości ponad 500 000 dolarów
- Błąd umożliwiał atakującym tworzenie niemal nieograniczonej liczby tokenów i opróżnianie puli płynności NFT
- Protokół Flooring ostrzegał użytkowników, aby nie dokonywali nowych wpłat, dopóki luka w zabezpieczeniach nie zostanie rozwiązana
- Zespół współpracuje z programistami, aby odzyskać odzyskane zasoby po wdrożeniu poprawki
Yuga Labs uratowało 68 tokenów NFT 8 czerwca po odkryciu luki w zabezpieczeniach Flooring Protocol, platformy umożliwiającej użytkownikom blokowanie tokenów NFT w zamian za zamienne tokeny.
Yuga Labs kończy akcję ratunkową whitehat w celu wykrycia NFT o wysokiej wartości w wyniku exploita Flooring Protocol
Dyrektor generalny Yuga Labs Michael Figge poinformował, że zespół zakończył operację ratunkową w związku z luką w zabezpieczeniach odkrytą w protokole Flooring Protocol.
Uratowane NFT są teraz bezpiecznie pod opieką Yuga Labs,… pic.twitter.com/ds7f3plmqE
— Wu Blockchain (@WuBlockchain) 8 czerwca 2026 r.
Dyrektor generalny Michael Figge potwierdził, że operacja została zakończona i że aktywa znajdują się obecnie pod opieką Yuga Labs.
Uratowana kolekcja obejmowała 29 figurek Bored Apes, 4 Mutant Apes, 1 BAKC, 2 CryptoPunks, 1 Azuki, 2 Elementals, 26 Captains, 1 Moonbird i 2 Doodles.
Jak działał exploit
Luka umożliwiła niewielkiej liczbie WETH wygenerowanie niemal nieskończonego salda fpTokenów, zamiennych tokenów protokołu.
Lider blockchaina w Yuga Labs , znany jako 0xQuit, wyjaśnił, że błąd wynikał ze spakowanej logiki własności i indeksowania. Złośliwy identyfikator tokena mógł przejść kontrolę własności, podczas gdy księgowanie dawało inny wynik.
Spowodowało to powstanie czegoś, co 0xQuit nazwał „własnością widmo”. Niesprawdzona aktualizacja salda spowodowała niedobór tokenów, w wyniku czego atakujący uzyskali znacznie większe saldo tokenów, niż powinni.
Dzięki temu zawyżonemu saldu atakujący mogą sprowadzić cenę tokenów niemal do zera i wyczerpać płynność z puli, a następnie wykupić bazowe NFT.
Szczegóły operacji ratunkowej
Dział transakcyjny Yuga Labs, GrailsOTC, zapewnił fundusze i NFT potrzebne do przeniesienia zagrożonych aktywów z podatnych na ataki pul, zanim atakujący zdołali do nich dotrzeć.
W operacji pomagał również badacz bezpieczeństwa Coffee. Niektóre zbiory zostały już przeszukane, zanim zespół zidentyfikował pełne zagrożenie.
0xQuit oszacował, że wartość uratowanych aktywów przekroczyła 500 000 USD.
Yuga Labs poinformowało, że będzie bezpiecznie przechowywać NFT i współpracować z zespołem programistów Flooring Protocol, aby zwrócić je po wdrożeniu poprawki.
Protokół nadal podatny na ataki
Główny twórca protokołu Flooring Protocol, znany jako 0xFreeLunch, potwierdził, że luka dotyczyła Flooring Protocol V2 i BitmapPunks.
Dodał, że oba projekty wykorzystywały kontrakty, w których tokeny zamienne były powiązane 1:1 z zablokowanymi NFT. Luka ta umożliwiła wybicie i wymianę nadwyżki tokenów pomimo licznych kontroli bezpieczeństwa.
0xFreeLunch stwierdził, że powierzchnia ataku była większa, niż początkowo przypuszczał atakujący. Ten sam wektor wyczerpał również pule płynności należące do zespołu BitmapPunks.
0xQuit ostrzegł użytkowników, aby nie deponowali więcej NFT w protokole Flooring. Nowo zdeponowane aktywa mogą być zagrożone, dopóki luka w zabezpieczeniach pozostaje aktywna.
Architekt protokołu Flooring Protocol powiedział, że bierze odpowiedzialność za konstrukcję umowy i że kod bitowy oszczędzający gaz ukrył wadę przed wcześniejszymi audytami.
To nie pierwszy raz, kiedy protokół padł ofiarą naruszenia bezpieczeństwa. Poprzedni incydent spowodował straty w wysokości około 1,5 miliona dolarów w NFT.
Zespół zajmuje się obecnie śledzeniem wydobytych aktywów i koordynacją działań z zespołami ds. bezpieczeństwa i giełdami.
Artykuł Yuga Labs ratuje 68 wartościowych tokenów NFT po ataku na protokół Flooring pojawił się jako pierwszy w serwisie CoinCentral .