Вразливість UNCX Vesting V2 призвела до втрати $1,49 млн на чотирьох мережах

15 жовтня 2026 року компанія Blockaid, що спеціалізується на безпеці блокчейнів, повідомила про те, що контракти Vesting V2 мережі UNCX були зламані на суму приблизно 1,49 мільйона доларів через чотири блокчейни.

Спочатку з Ethereum було виведено 86 тисяч доларів, але згодом ця сума зросла більше ніж у 17 разів через атаки копійчаних гаманців і торгових ботів.

Платформа, раніше відома як Unicrypt, підтвердила інцидент у офіційній заяві і заявила, що співпрацює з правоохоронними органами та SEAL 911 для розробки плану відновлення. UNCX дозволяє криптопроектам блокувати ліквідність та планувати вестинг токенів, щоб не дозволити команді або інвесторам одночасно їх продавати.

Blockaid зазначила, що витік стався через бухгалтерську помилку в контракті VestingManager, яка відповідає за управління цими графіками. Помилка була в тому, як контракт відстежував випущені та скасовані акції вестингу.

Дослідники з ExVul, які дослідили першу транзакцію в Ethereum, вказали, що функція release() зменшувала загальну кількість акцій, не видаляючи випущені акції з зареєстрованого депозиту, тому пізніше скасування віднімало ті ж акції вдруге. Створивши позиції вестингу, випустивши велику, повернувши токени та скасувавши поповнену позицію, зловмисник отримав маленьку залишкову позицію, що дозволяла йому виводити токени, які підтримували депозити інших користувачів.

Жодні приватні ключі не були скомпрометовані; ведення обліку самого контракту сприяло витоку. Blockaid оцінила збитки у приблизно 969 тисяч доларів на $BNB Smart Chain, 242 тисячі доларів на Ethereum, 169 тисяч доларів на Robinhood Chain та 114 тисяч доларів на Base через 11 транзакцій, у яких брали участь копійчані та MEV ботів.

UNCX повідомила, що інцидент торкнувся 10 токенів: pepecoin, EDGEN, ZC, X, LO0P та PAAL на Ethereum; IMO на Base; BTCLE на $BNB Chain; та CASHCAT і RKST на Robinhood Chain. UNCX зазначила, що її ліквідні замки і старі контракти на вестинг залишаються незайманими.

Щоб стримати зловживання, вона підвищила фіксовані збори до 1000 ETH за кожен новий лock, усунула шляхи, що обминають збори, і підвищила збори на токени до максимальних 5%.

Приблизно 3,25 мільйона доларів залишалося в ураженому контракті Ethereum, коли Blockaid виявила атаку. На даний момент жодні кошти не були повернуті оригінальним зловмисником чи копійчаними атаками на будь-якому з блокчейнів, зазначила UNCX, і вона рекомендувала утриматися від торгівлі в уражених пулів до отримання вказівок від відповідних команд токенів.

Повний звіт про інцидент, що охоплює технічні знахідки, фінансові дані та запропонований план відновлення, очікується на цьому тижні. Цей інцидент є ще одним нагадуванням про те, що спільні смарт-контракти, включаючи інфраструктуру вестингу токенів, можуть бути зламані без зламу гаманця, що стало предметом більш широкого аналізу у сфері безпеки блокчейнів.